是否有AWS安全组规则专门允许访问AWS KM？

Question

const AWS = require('aws-sdk');
const kms = new AWS.KMS();
kms.decrypt( ... )

Outbound rules:
Type        | Protocol | Port range | Destination
All traffic | All      | All        | 0.0.0.0/0 
All traffic | All      | All        | ::/0 

kms Service {
  ...
  isGlobalEndpoint: false,
  endpoint: Endpoint {
    protocol: 'https:',
    host: 'kms.eu-west-2.amazonaws.com',
    port: 443,
    hostname: 'kms.eu-west-2.amazonaws.com',
    pathname: '/',
    path: '/',
    href: 'https://kms.eu-west-2.amazonaws.com/'
  },
  ...
}

Type        | Protocol | Port range | Destination
HTTPS       | TCP      | 443        | 52.94.48.24/32

任何指导都非常感谢！

谢谢,A。

Answer 1

我假设通过锁定基础结构，我们可以理解您将EC2实例设置为一个私有子网。在这种情况下，您应该为KMS服务创建一个VPCendpoint。

VPCendpoint将在您的子网中拥有一个网络接口，它将为每个子网提供一个专用IP地址以及潜在的专用DNS主机名（如果VPC启用了此属性）。

此外，您可以允许EC2实例和基于安全组的VPCendpoint之间的流量（不需要指定IPs）。