如何限制对 AWS 负载均衡器的访问，以便只有另一个特定的 AWS 负载均衡器才能进行入站访问?

Question

我们目前有一个在 AWS Elastic Beanstalk 上运行的 API 和网站，两者都带有负载均衡器。 现在，我们正在尝试弄清楚如何将所有传入流量限制到 API 负载均衡器，以便网站负载均衡器是访问 API 的唯一点。 我们试图与安全组合作，但我们永远无法正确解决。

我们已经删除了对API的所有入站访问，并限制了所有访问，但我们就是无法让网站访问它。

我们的最终目标是拥有一个系统，在这个系统中，API永远无法从外部访问，但网站可以通过HTTPS调用完全访问它。

希望你们能帮助我们，提前谢谢！

Answer 1

您的网站在 EC2 实例上运行，该实例只能通过 ELB 访问。API 服务器在私有子网中运行，可通过内部 ELB 访问。您希望您的网站访问 API 服务器。以下步骤应解决您面临的问题：

1. 将您的 API 负载均衡器配置为内部负载均衡器，以便无法从您的 VPC 访问它。

2. 应用以下安全组规则，让应用程序实例访问 API 服务器。

WebApp (EC2( SG

80/443 SG-xxxelb (外部 ELB SG(

外部 ELB SG

80/443 0.0.0.0/0

您的 API 服务器应只能由 WebApp 实例访问。

内部(API 服务器(ELB SG

443 sg-xxxec2(WebApp EC2 实例的 SG(。