Por padrão, instâncias ECS em diferentes grupos de segurança dentro da mesma VPC ficam isoladas e não conseguem se comunicar pela rede interna. configure regras de grupo de segurança para ative essa comunicação conforme as necessidades do negócio, como construir sites internos, implantar serviços de aplicação ou gerenciar clusters de banco de dados. Este tópico descreve quatro maneiras de fazer isso.
Pré-requisitos
As instâncias ECS que precisam se comunicar devem estar na mesma VPC. Se suas instâncias estiverem em VPCs diferentes, primeiro conecte as redes por meio do cloud Enterprise Network ou de uma VPC Peering Connection antes de configure as regras de grupo de segurança.
A Solução 2 e a Solução 3 dependem do comportamento padrão dos grupos de segurança básicos, em que instâncias dentro do mesmo grupo conseguem se comunicar entre si. Se você estiver usando grupos de segurança empresariais, que isolam instâncias por padrão, utilize a Solução 1 ou a Solução 4.
Método 1: Autorizar por endereço IP individual
Casos de uso
Esta solução é ideal para cenários em que um número pequeno de instâncias ECS na mesma VPC precisa se comunicar pela rede interna.
Vantagens e desvantagens
Vantagem: as regras são claras e fáceis de entender.
Desvantagem: pode atingir o limite de 200 regras por grupo de segurança. A carga de manutenção é alta.
Procedimento
Localize a instância que precisa de comunicação e clique em no ID da instância.
Na página Instance Details, clique em na aba Security Group.
Localize o grupo de segurança a ser configurado e, na coluna Operation, clique em ou Configure Rules.
clique em na aba Inbound.
-
clique em Add Rule e adicione uma regra de grupo de segurança com as configurações a seguir.
Action: Allow.
Priority: defina conforme necessário. Padrão: 1.
Protocol Type: selecione conforme necessário.
Port Range: defina conforme necessário.
Source: insira o endereço IP privado da instância de origem no formato a.b.c.d/32. Para autorizar todas as instâncias de um segmento de rede, use a notação CIDR, como 192.168.1.0/24.
clique em Save.
Método 2: Adicionar instâncias ao mesmo grupo de segurança
Casos de uso
Arquiteturas de aplicação simples em que todas as instâncias podem compartilhar um único grupo de segurança básico.
Instâncias dentro do mesmo grupo de segurança básico conseguem se comunicar por padrão, sem a necessidade de regras adicionais. Esse comportamento não se aplica a grupos de segurança empresariais. Para grupos de segurança empresariais, utilize a Solução 1 ou a Solução 4.
Vantagens e desvantagens
Vantagem: as regras são claras e fáceis de revisar.
Desvantagem: funciona apenas para arquiteturas simples. Se a arquitetura de rede mudar, será necessário atualize o método de autorização.
Procedimento
Consulte Associate a security group with an instance (primary network interface card).
Método 3: Associar um grupo de segurança dedicado à comunicação
Casos de uso
Arquiteturas de aplicação em múltiplas camadas que exigem um grupo de segurança dedicado para comunicação interna.
Vantagens e desvantagens
Vantagem: adequado para arquiteturas de rede complexas.
Desvantagem: as instâncias pertencem a vários grupos de segurança, o que dificulta a leitura das regras.
Procedimento
Na mesma VPC, crie um novo grupo de segurança básico (por exemplo, "shared-comm-sg"). Esse novo grupo não exige regras. Para mais informações, consulte crie a security group.
Associe esse novo grupo de segurança compartilhado a todas as instâncias que precisam de comunicação interna. Isso permite a comunicação entre as instâncias por meio da regra padrão que autoriza o tráfego entre instâncias dentro do mesmo grupo de segurança básico. Para mais informações, consulte Associate a security group with an instance (primary network interface card).
Método 4: Autorizar entre grupos de segurança
Casos de uso
Arquiteturas de aplicação em múltiplas camadas em que as instâncias autorizam umas às outras por ID de grupo de segurança.
Vantagens e desvantagens
Vantagem: adequado para arquiteturas de rede complexas.
Desvantagem: as instâncias pertencem a vários grupos de segurança, o que dificulta a leitura das regras.
Procedimento
Localize a instância que precisa de comunicação e clique em no ID da instância.
Na página Instance Details, clique em na aba Security Group.
Localize o grupo de segurança a ser configurado e, na coluna Operation, clique em ou Configure Rules.
clique em na aba Inbound.
-
clique em Add Rule e adicione uma regra de grupo de segurança com as configurações a seguir.
Action: Allow.
Priority: defina conforme necessário. Padrão: 1.
Protocol Type: selecione conforme necessário.
Port Range: defina conforme necessário.
-
Authorization Object:
Dentro da sua conta: insira o ID do grupo de segurança de destino.
Entre contas: insira o ID da conta de destino e o ID do grupo de segurança no formato AccountID/SecurityGroupID.
clique em Save.