amazon-ec2 - 如何允许某些端口仅对 Cloud Custodian 中的某些安全组开放？

Question

我的政策中规定只允许 80 和 443 向世界开放。

      "or": [
        {
          "Cidr": {
            "value": "0.0.0.0/0"
          }, 
          "type": "ingress", 
          "OnlyPorts": [
            80, 
            443
          ]
        }, 
        {
          "CidrV6": {
            "value": "::/0"
          }, 
          "type": "ingress", 
          "OnlyPorts": [
            80, 
            443
          ]
        }
      ]

现在，我想只允许 8080 和 8081 进入选定的安全组，而不是所有安全组。这可能吗？

Answer 1

您只需编辑特定的安全组。只需打开那里的端口就可以了。

Answer 2

使用键和值数组添加值过滤器以排除您不想匹配的安全组

Answer 3

对于 IPV4：

resource: security-group
    filters:
      - tag:c7n_exception: absent
      - type: ingress
        OnlyPorts: [80,443]
        Cidr:
          value: "0.0.0.0/0"

对于 IPV6：

    resource: security-group
    filters:
      - tag:c7n_exception: absent
      - type: ingress
        OnlyPorts: [80,443]
        CidrV6:
          value: "::/0"

更多过滤器

filters:
  - and:
            - type: security-group
              key: GroupId
              #key: SecurityGroups[].GroupID  
              op: not-in
              value:
                - sg-0db5e1ab7s8323