AWS安全组难题

Question

我有一个用于RDS实例的AWS安全组。

我还有一个用于 EC2 实例的 AWS 安全组。

我设置了它，因此EC2实例的安全组用作我用于RDS实例的安全组的入口。

在我的EC2实例中，我可以使用mysql命令毫无问题地访问RDS实例。

但是，如果我尝试使用带有MySQLi的PHP脚本来访问RDS实例，它将无法连接。

如果我将EC2实例的实际AWS IP地址作为入口添加到RDS安全组，那么使用MySQLi的PHP脚本可以正常工作。

知道为什么会这样吗？

1. RDS和EC2安全组都在同一个VPC上。
2. 当添加EC2私有地址而没有其他更改时，软件连接良好。

这就是为什么行为让人费解

Answer 1

典型的安全配置为：

• Amazon EC2 实例 （App-SG） 上的安全组，具有所需的入站权限和默认的“全部允许”出站权限
• 亚马逊 RDS 数据库 （DB-SG） 上的一个安全组，允许从应用程序 SG 在端口 3306 （MySQL） 上进行入站访问

也就是说，DB-SG在其入站规则中专门引用App SG。

EC2 实例上的软件应通过其 DNS 名称引用 RDS 数据库，该名称将解析为私有 IP 地址 （假设 EC2 实例和 RDS 数据库位于同一 VPC 中）。

如果您的配置适用于EC2实例上的mysql命令，那么它也应该适用于MySQLi访问，因为它们都将连接到同一端口上的同一目标DNS名称（3306）。