我或用户的VPC和子网？

Question

我正在尝试将我的移动应用程序连接到AWS RDS。我希望我的用户能够从任何地方访问数据库，我想在SQL Workbench中查看我的数据库。 VPC和子网是否允许我访问数据库或我的用户？

Answer 1

除了Strongjz的回答，我强烈建议您将数据库放置在专用子网中，并阻止来自Internet的任何直接连接。

要从SQL Workbench连接到它，您可以设置堡垒服务器。这是一台服务器，充当外部Internet与您的私有子网之间的中间人。关于如何设置一个很好的教程here。他们正在连接Redshift，但是连接到RDS的过程完全相同。

为帮助设计子网IP范围，VPC Designer是设计不同子网的好工具。

完全公开，我是VPC Designer的创建者。

Answer 2

出于安全原因和正确的移动应用程序架构，我不会让移动客户端直接访问数据库。只有一台受感染的机器，您的数据已经消失，损坏或被盗。

1. 设置移动客户端为数据请求提供的API。
2. 仅授予对数据库的API访问权限。
3. 让移动客户端使用Incognito之类的内容来访问资源。

Here is a reference architecture from AWS for a mobile web app.

Also a paper on how to create a backend for a mobile application

为了安全地连接到数据库，我将使用软件VPN，只允许您的IP连接它，然后只允许从该VPN的私有IP到数据库的连接。 VPC设计注意事项here。我个人使用OpenVPN，2个并发用户可以免费减去ec2时间。

就VPC子网设计而言，数据库实例应始终放在私有子网中，公共子网中的api用https公开。 AWS cert manager可以免费使用ELB / ALB。