피어 보안 그룹을 참조하도록 보안 그룹 업데이트

피어링된 VPC의 보안 그룹을 참조하도록 VPC 보안 그룹의 인바운드 또는 아웃바운드 규칙을 업데이트할 수 있습니다. 그렇게 하면 피어링된 VPC의 참조 보안 그룹과 연결된 인스턴스 간에 트래픽을 주고받을 수 있습니다.

요구 사항

피어 VPC는 사용자 계정의 VPC이거나 다른 AWS 계정의 VPC일 수 있습니다. 다른 AWS 계정의 보안 그룹을 참조하려면 [소스(Source)] 또는 [대상 주소(Destination)] 필드에 계정 번호를 포함하세요(예: 123456789012/sg-1a2b3c4d).
다른 리전에 있는 피어 VPC의 보안 그룹을 참조할 수 없습니다. 그 대신 피어 VPC의 CIDR 블록을 사용하세요.
피어 VPC의 보안 그룹을 참조하려면 VPC 피어링 연결이 active 상태여야 합니다.
미들박스 어플라이언스를 통해 서로 다른 서브넷에 있는 두 인스턴스 간의 트래픽을 전달하도록 경로를 구성하는 경우 두 인스턴스에 대한 보안 그룹이 인스턴스 간에 트래픽이 흐르도록 허용해야 합니다. 각 인스턴스의 보안 그룹은 다른 인스턴스의 프라이빗 IP 주소 또는 다른 인스턴스가 포함된 서브넷의 CIDR 범위를 소스로 참조해야 합니다. 다른 인스턴스의 보안 그룹을 소스로 참조하면 인스턴스 간에 트래픽이 흐를 수 없습니다.

콘솔을 사용하여 보안 그룹 규칙을 업데이트하려면

https://console.aws.amazon.com/vpc/에서 Amazon VPC 콘솔을 엽니다.
탐색 창에서 보안 그룹을 선택합니다.
보안 그룹을 선택한 다음 작업, 인바운드 규칙 편집을 선택하여 인바운드 규칙을 수정하거나 작업, 아웃바운드 규칙 편집을 선택하여 아웃바운드 규칙을 수정합니다.
규칙을 추가하려면 규칙 추가를 선택한 다음 유형, 프로토콜 및 포트 범위를 지정합니다. 소스(인바운드 규칙) 또는 대상(아웃바운드 규칙)에 피어 VPC의 보안 그룹 ID(동일 리전에 있는 경우) 또는 피어 VPC의 CIDR 블록(다른 리전에 있는 경우)을 입력합니다.

참고
피어 VPC의 보안 그룹은 목록에 자동으로 표시되지 않습니다.
기존 규칙을 편집하려면 해당 값(예: 소스 또는 설명)을 변경합니다.
규칙을 삭제하려면 규칙 옆의 삭제를 선택합니다.
규칙 저장을 선택합니다.

명령줄을 사용하여 인바운드 규칙을 업데이트하려면

authorize-security-group-ingress(AWS CLI)
Grant-EC2SecurityGroupIngress(AWS Tools for Windows PowerShell)
Revoke-EC2SecurityGroupIngress(AWS Tools for Windows PowerShell)
revoke-security-group-ingress(AWS CLI)

명령줄을 사용하여 아웃바운드 규칙을 업데이트하려면

authorize-security-group-egress(AWS CLI)
Grant-EC2SecurityGroupEgress(AWS Tools for Windows PowerShell)
Revoke-EC2SecurityGroupEgress(AWS Tools for Windows PowerShell)
revoke-security-group-egress(AWS CLI)

예를 들어, 피어 VPC에 있는 sg-aaaa1111의 HTTP를 통해 인바운드 액세스를 허용하도록 보안 그룹 sg-bbbb2222을 업데이트하려면 다음 AWS CLI 명령을 사용할 수 있습니다.


aws ec2 authorize-security-group-ingress --group-id sg-aaaa1111 --protocol tcp --port 80 --source-group sg-bbbb2222

보안 그룹 규칙을 업데이트한 후 describe-security-groups 명령을 사용하여 보안 그룹 규칙에서 참조된 보안 그룹을 볼 수 있습니다.

참조된 보안 그룹 식별

보안 그룹이 피어 VPC의 보안 그룹 규칙에서 참조되고 있는지 여부를 확인하려면 계정의 하나 이상의 보안 그룹에 대해 다음 명령 중 하나를 사용할 수 있습니다.

describe-security-group-references(AWS CLI)
Get-EC2SecurityGroupReference(AWS Tools for Windows PowerShell)
DescribeSecurityGroupReferences(Amazon EC2 쿼리 API)

다음 예의 응답은 보안 그룹 sg-bbbb2222가 VPC 의 보안 그룹 vpc-aaaaaaaa에서 참조되고 있음을 나타냅니다.


aws ec2 describe-security-group-references --group-id sg-bbbb2222


{    
  "SecurityGroupsReferenceSet": [
    {
      "ReferencingVpcId": "vpc-aaaaaaaa",
      "GroupId": "sg-bbbb2222",
      "VpcPeeringConnectionId": "pcx-b04deed9"       
    }   
  ]
}

VPC 피어링 연결을 삭제하거나 피어 VPC의 소유자가 참조된 보안 그룹을 삭제하는 경우 보안 그룹 규칙은 무효가 됩니다.

무효 보안 그룹 규칙으로 작업

무효 보안 그룹 규칙이란 동일한 VPC 또는 피어 VPC에서 삭제된 보안 그룹을 참조하거나, VPC 피어링 연결이 삭제된 피어 VPC의 보안 그룹을 참조하는 규칙입니다. 보안 그룹 규칙이 무효로 되면, 해당 규칙은 보안 그룹에서 자동으로 제거되지 않습니다. 따라서 규칙을 수동으로 제거해야 합니다. VPC 피어링 연결이 삭제되어 보안 그룹 규칙이 유효하지 않은 경우 동일한 VPC로 새 VPC 피어링 연결을 생성하면 규칙이 더 이상 부실한 것으로 표시되지 않습니다.

Amazon VPC 콘솔을 사용하여 VPC에 대한 무효 보안 그룹 규칙을 보고 삭제할 수 있습니다.

무효 보안 그룹 규칙을 보고 삭제하려면

https://console.aws.amazon.com/vpc/에서 Amazon VPC 콘솔을 엽니다.
탐색 창에서 보안 그룹을 선택합니다.
[작업(Actions)], [오래된 규칙 관리(Manage stale rules)]를 선택합니다.
VPC에서 오래된 규칙이 있는 VPC를 선택합니다.
편집(Edit)을 선택합니다.
삭제할 규칙 옆에 있는 [삭제(Delete)] 버튼을 선택합니다. 변경 사항 미리 보기(Preview changes), 규칙 저장(Save rules)을 선택합니다.

명령줄 또는 API를 사용하여 부실한 보안 그룹 규칙을 설명하려면

describe-stale-security-groups(AWS CLI)
Get-EC2StaleSecurityGroup(AWS Tools for Windows PowerShell)
DescribeStaleSecurityGroups(Amazon EC2 쿼리 API)

다음 예에서는 VPC A (vpc-aaaaaaaa)와 VPC B가 피어링되었고, VPC 피어링 연결이 삭제되었습니다. VPC A의 보안 그룹 sg-aaaa1111은 VPC B의 sg-bbbb2222를 참조합니다. VPC에 대해 describe-stale-security-groups 명령을 실행하면, 응답은 보안 그룹 sg-aaaa1111에 sg-bbbb2222를 참조하는 무효 SSH 규칙이 있음을 나타냅니다.


aws ec2 describe-stale-security-groups --vpc-id vpc-aaaaaaaa


{
    "StaleSecurityGroupSet": [
        {
            "VpcId": "vpc-aaaaaaaa", 
            "StaleIpPermissionsEgress": [], 
            "GroupName": "Access1", 
            "StaleIpPermissions": [
                {
                    "ToPort": 22, 
                    "FromPort": 22, 
                    "UserIdGroupPairs": [
                        {
                            "VpcId": "vpc-bbbbbbbb", 
                            "PeeringStatus": "deleted", 
                            "UserId": "123456789101", 
                            "GroupName": "Prod1", 
                            "VpcPeeringConnectionId": "pcx-b04deed9", 
                            "GroupId": "sg-bbbb2222"
                        }
                    ], 
                    "IpProtocol": "tcp"
                }
            ], 
            "GroupId": "sg-aaaa1111", 
            "Description": "Reference remote SG"
        }
    ]
}

무효 보안 그룹 규칙을 식별한 후에는 revoke-security-group-ingress 또는 revoke-security-group-egress 명령을 사용하여 해당 규칙을 삭제할 수 있습니다.

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

라우팅 테이블 업데이트

피어링 옵션 수정