EC2 Instance Connect Endpoint 安全组

安全组控制允许到达和离开与其关联资源的流量。例如，除非与 Amazon EC2 实例关联的安全组特别允许，否则我们会拒绝进出该实例的流量。

以下示例演示了如何为 EC2 Instance Connect 端点和目标实例配置安全组规则。

EC2 Instance Connect 端点安全组规则

EC2 Instance Connect 端点的安全组规则必须允许离开该端点并指向目标实例的出站流量。您可以将实例安全组或 VPC 的 IPv4 地址范围指定为目标。

由于指向端点的流量来自 EC2 Instance Connect 端点服务，因此无论端点安全组的入站规则如何，该流量都会被允许。要控制谁可以使用 EC2 Instance Connect 端点连接到实例，请使用 IAM 策略。有关更多信息，请参阅 使用 EC2 Instance Connect 端点连接到实例的权限。

示例出站规则：安全组引用

以下示例使用了安全组引用，这意味着目标是一个与目标实例关联的安全组。此规则允许从该端点到使用此安全组的所有实例的出站流量。

协议	目标位置	端口范围	注释
TCP	实例安全组的 ID	22	允许指向与实例安全组关联的所有实例的出站 SSH 流量

示例出站规则：IPv4 地址范围

以下示例允许指向指定 IPv4 地址范围的出站流量。实例的 IPv4 地址是从其子网分配的，因此可以使用 VPC 的 IPv4 地址范围。

协议	目标位置	端口范围	注释
TCP	VPC IPv4 CIDR	22	允许指向 VPC 的出站 SSH 流量

目标实例安全组规则

目标实例安全组规则必须允许来自该 EC2 Instance Connect 端点的入站流量。您可以将端点安全组或 IPv4 地址范围指定为源。如果指定 IPv4 地址范围，则源取决于关闭还是开启了客户端 IP 保留功能。有关更多信息，请参阅 注意事项。

由于安全组是有状态的，因此无论实例安全组的出站规则如何，都将允许响应流量离开 VPC。

示例入站规则：安全组引用

以下示例使用了安全组引用，这意味着源是与该端点关联的安全组。此规则允许从端点到使用此安全组的所有实例的入站 SSH 流量，无论客户端 IP 保留功能处于开启还是关闭状态。如果 SSH 没有其他入站安全组规则，则实例仅接受来自该端点的 SSH 流量。

协议	来源	端口范围	注释
TCP	端点安全组的 ID	22	允许来自与端点安全组关联的资源的入站 SSH 流量

示例入站规则：客户端 IP 保留功能已关闭

以下示例允许来自指定 IPv4 地址范围的入站 SSH 流量。因为客户端 IP 保留功能已关闭，因此源 IPv4 地址是端点网络接口的地址。端点网络接口的地址由其子网分配，因此您可以使用 VPC 的 IPv4 地址范围来允许连接到 VPC 中的所有实例。

协议	来源	端口范围	注释
TCP	VPC IPv4 CIDR	22	允许来自 VPC 的入站 SSH 流量

示例入站规则：客户端 IP 保留功能已开启

以下示例允许来自指定 IPv4 地址范围的入站 SSH 流量。因为客户端 IP 保留功能已开启，因此源 IPv4 地址是客户端的地址。

协议	来源	端口范围	注释
TCP	公有 IPv4 地址范围	22	允许来自指定客户端 IPv4 地址范围的入站流量