Cloud-native API Gateway y sus servicios de backend pueden residir en distintos security groups. Agregue reglas de security group para otorgar al gateway acceso a sus servicios de backend.
Contexto
Un security group es un firewall virtual que controla el tráfico entrante y saliente de las instancias ECS y las ENI mediante la inspección y el filtrado de paquetes con estado. Configure reglas de security group para aislar dominios de seguridad en la nube. Security group overview.
Cuando crea una instancia de Cloud-native API Gateway, selecciona una VPC y un tipo de security group. Elija el mismo tipo que utiliza su servicio de backend. El gateway crea un security group administrado para los nodos de su instancia. Dado que los nodos del gateway y del servicio de backend se encuentran en distintos security groups, debe agregar una regla al security group del servicio de backend. Esto permite que el gateway acceda en los rangos de puertos obligatorios.
La figura muestra cómo Cloud-native API Gateway usa los security groups para controlar el acceso a la red y enrutar el tráfico:
Un cliente envía una solicitud a través de Cloud-native API Gateway hacia la red interna.
El gateway enruta el tráfico a
service-sg1yservice-sg2según las reglas de enrutamiento.El pod en
service-sg1procesa las solicitudes en el puerto 8080.La instancia ECS en
service-sg2procesa las solicitudes en los puertos del 80 al 9000.
Paso 1: Buscar el security group
Los servicios de backend de Cloud-native API Gateway suelen desplegarse en Container Service for Kubernetes (ACK) o en instancias ECS. Busque el ID del security group de su servicio de backend.
Container Service (ACK)
Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.
En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en .
En la página Node Pools, haga clic en el nodo de destino y luego en la pestaña Basic Information para encontrar el ID del security group.
Instancia ECS
Inicie sesión en la consola de ECS.
En el panel de navegación izquierdo, elija .
En la página Instances, haga clic en la instancia ECS de destino y luego en la pestaña Security Groups para encontrar el ID del security group.
Paso 2: Agregar una regla de security group
Inicie sesión en la consola de API Gateway.
En el panel de navegación izquierdo, haga clic en . En la barra de navegación superior, seleccione una región.
En la página Instance, haga clic en el ID de la instancia de destino.
En el panel de navegación izquierdo, haga clic en Overview y luego en la pestaña Security Group Authorizations.
Haga clic en Add Security Group Rule. En el cuadro de texto Security Group ID, pegue el ID del security group obtenido en el paso 1 y luego seleccione el security group.
-
Introduzca el Port Range para la autorización del security group: puerto inicial/puerto final.
Puede introducir varios rangos de puertos. Presione Enter después de cada rango.
-
Haga clic en Save.
Cloud-native API Gateway crea la regla correspondiente.
La regla también aparece en el security group del nodo de destino.
Eliminar una regla de security group
Inicie sesión en la consola de API Gateway.
En el panel de navegación izquierdo, haga clic en . En la barra de navegación superior, seleccione una región.
En la página Instance, haga clic en el ID de la instancia de destino.
Haga clic en la pestaña Security Group Authorizations. Busque la regla que desea eliminar, haga clic en Delete en la columna Actions y luego haga clic en OK.
De forma predeterminada, solo se elimina la regla de security group del gateway. Para quitar también la regla entrante del security group del nodo de destino, seleccione The preceding inbound rules in the security group are also deleted.
Preguntas frecuentes
Servicio inaccesible después de agregar una regla
Compruebe lo siguiente:
-
Compruebe si agregó la regla al security group correcto.
Por ejemplo, el servicio se ejecuta en el nodo A, pero la regla se agregó al security group del nodo B.
-
Compruebe si el nodo de destino pertenece a varios security groups.
Si es así, agregue la regla de autorización a cada security group.
Un servicio antes accesible ahora falla
Compruebe lo siguiente:
-
Compruebe que su servicio se ejecute correctamente.
Ejecute
curldesde otro nodo del mismo security group para comprobar la conectividad. -
Compruebe si cambió el puerto expuesto por su servicio.
Por ejemplo, si el servicio pasó del puerto 8080 al 8081, pero la regla solo cubre el 8080, el acceso fallará. Para evitarlo, utilice un rango de puertos más amplio, como 1-65535.