AWSのEC2インスタンス間のアクセス制限について

Question

AWSでインスタンスを２個立ち上げて１個をWebサーバ、２個目をDBサーバとして使いたいときに、DBサーバ側でアクセス制限かけたいのですが、
その場合はWebサーバー側に固定IPを設定しないとアクセス制限できないんでしょうか？
インスタンスIDやパブリックDNSをセキュリティグループに登録するような方法はないのでしょうか？

Comments

[maisumakun]

DBサーバには、AWS外からも直接アクセスしたい、ということで間違いないですか？

[redara]

それとは逆で、DBサーバーにはAWS外からの直接アクセスは制限したいです。

Answer 1

IPアドレスやネットワークアドレス以外に、セキュリティグループを許可することができます。
Webサーバーのセキュリティグループ(の1つ)を DBサーバーのセキュリティグループ設定で許可します。

参考:

• AWSでMYSQL
• awsのセキュリティグループにセキュリティグループを関連付けるとどうなりますか？

Comments

[redara]

セキュリティグループをアクセス制限の設定を共有するためのものだけかと思っていたのですが、
アクセス制限対象として設定できたりできるんですね。

Answer 2

いいえ、セキュリティグループをわければお望みの事が実現できます。

WEBサーバのセキュリティグループを sg-aaaaaa
DBサーバのセキュリティグループを sg-bbbbb

とした場合、sg-bbbbbのInboundのルールに3306/tcp src=sg-aaaaaaのように設定すれば、
WEBサーバのIPアドレスがなんであれ、3306/tcpのみ接続を許可できるようになります。

Comments

[redara]

そのような簡単な方法があるんですね。
回答ありがとうございました。

[moonphase]

セキュリティグループをインスタンスに割り当てた場合、デフォルトで 22/tcp が 0.0.0.0/0 に許可されているルールがあるので、それを削除してあげればどこからもアクセスできなくなります。その上で、APサーバのセキュリティグループからのみ 3306/tcp を許可してあげるとか、メンテナンス用のサーバのセキュリティグループから 22/tcp を許可してあげるなどすれば良いと思います。
AWS外からであれば、GIPで自分のIPアドレスを許可してあげればOKです。