【AWS】ロードバランサー配下のEC2からのみのアクセスを許可するようなセキュリティグループの設定をしたい

Question

AWSでロードバランサーでオートスケールしたEC2サーバー(Aサーバー)と
独立したEC2サーバー(Bサーバー)があります。

Bサーバーへは、特定のポートを空けており、AサーバーからhttpでAPIを実行致します。

Bサーバーはセキュリティ要件上、どこからでもアクセスしたくなく、Aサーバーからのみアクセスするよう
セキュリティグループで設定したいと考えております。

Aサーバーが1台だけですと、固定IPのIPアドレスをインバウンド設定に設定すれば解決するかと思いますが、
オートスケール後、複数台できるようなケースでは、この設定では不十分かと思います。

このような場合、どのように設定すれば宜しいのでしょうか？

よろしくお願い致します。

Answer 1

セキュリティグループの接続元(Source)は IPアドレスだけでなく、他のセキュリティグループを設定することができます。
Bサーバーのセキュリティグループで、Aサーバーのセキュリティグループからの接続を許可するよう設定するといいと思います。

Answer 2

AWS所有のIP範囲、でいいんじゃないかと。
リージョンを限定すればもっと狭くできる、かな？

Comments

[kinoshitaaa]

ご回答有難う御座います。
AWS所有のIP範囲というのがあることが知らず勉強になりました。
こちらに記載のレンジということですよね？
https://docs.aws.amazon.com/ja_jp/quicksight/latest/user/regions.html

現状、マルチAZの設定？にしているためか、リージョンが複数にまたがります。

その場合、極端な場合、すべてのIPのレンジで指定してあげるということですよね？

[kinoshitaaa]

上記マルチAZはアベイラビリティゾーンの話なので、リージョンには影響がないかもしれません。
このあたりきちんと理解しきれておらず申し訳ありません。
リージョンは東京リージョンのみで、アベイラビリティゾーンは複数にまたがります。

[y_waiwai]

ロードバランサー配下のEC2のIPが限定されてる、と言うならそれを使えばいいけど、そうでないなら、考えうる範囲を取るしか無いでしょうね。

> その場合、極端な場合、すべてのIPのレンジで指定してあげるということですよね？
そういうことですねえ。