爲什麼有相同的安全組，以及如何可以有不同的VPC？

Question

我想創造AWSEFS，它是在文檔說，我可以將它附加只的情況下，具有相同的安全組作爲我VPC。

如何知道我的VPC的安全組？

假設它是default和我的情況有不同的安全組，通過不同的嚮導在不同的時間創建。怎麼可能，這個實例屬於VPC，但有不同的安全組，比那個VPC？

Answer 1

亞馬遜彈性文件系統（EFS）是一個區域服務。如果您在特定區域創建EFS（例如：us-east-1），則可以在同一us-east-1區域的不同可用區域中創建多個EC2實例，以訪問EFS以讀取和寫入數據。

在特定區域內的所有EC2實例（例如：美國東1）必須屬於一個VPC和子網（除非你使用EC2-經典）。一個VPC映射到一個區域，一個子網映射到一個可用區域。您可以在VPC的可用區域中設置安裝目標，以便EC2實例可以通過安裝目標連接到EFS並共享相同的文件系統。

查看AWS文檔中的以下圖像。

現在，我們怎樣才能確保我們的EFS只能由某一組EC2實例的訪問，而不是從所有的子網中的所有實例？

這就是安全組派上用場。我們可以將安全組分配給EFS掛載點，以便只有給定安全組所連接的EC2才能通過掛載目標訪問EFS。任何其他安全組中的EC2實例都不能訪問EFS。這是我們限制訪問EFS的方式。

所以，當你安裝EFS到EC2實例，我們必須對EFS相同的安全組添加到EC2實例。

Amazon EC2實例和安裝目標都具有關聯的安全組。這些安全組充當一個虛擬防火牆，用於控制它們之間的流量。如果您在創建裝載目標時未提供安全組，Amazon EFS會將VPC的默認安全組與其關聯。

無論如何，以使（因此文件系統）的EC2實例和設置對象之間的通信，則必須配置以下規則在這些安全組：

• 的安全組，你有關聯安裝目標必須允許來自要安裝文件系統的所有EC2實例的NFS端口上的TCP協議的入站訪問。

• 是掛載文件系統必須有一個安全組，允許出站訪問到安裝目標NFS端口上的每個EC2實例。

瞭解更多關於EFS安全組here。

希望這會有所幫助。