创建新的 ec2 CloudFormation 时更新现有安全组

Question

我有使用这样的 cfn 模板创建的 ec2 实例：

参数：

"VPCId": {
    "Type":  "AWS::EC2::VPC::Id"
    "Description": "The VPC Id to where this instance is being created"
}
"Subnet": {
  "Description": "Subnet to put Instance",
  "Type": "AWS::EC2::Subnet::Id",
},

具有以下安全组：

"InstanceSecurityGroup": {
      "Type": "AWS::EC2::SecurityGroup",
      "Properties": {
        "GroupDescription": "Enables access to instance by port 80",
        "VPCId": {
            "Ref": "VPCId"
        },
        "SecurityGroupIngress": [
          {
            "IpProtocol": "tcp",
            "FromPort": "80",
            "ToPort": "80",
            "CidrIp": {
              "Ref": "ClientCIDR"
            }
          }
        ]
      },

和部分实例资源：

"WebServer": {
  "Type": "AWS::EC2::Instance",
  "Properties": {
    "IamInstanceProfile": "access-profile",
    "SecurityGroupIds": [
      { "Fn::GetAtt": [
          "InstanceSecurityGroup",
          "GroupId"
        ]
      }
    ],
    "SubnetId": {
      "Ref": "Subnet"
    },

我想使用另一个模板再创建几个实例。此实例应该可以通过端口 22 访问上述实例并在 UserData 中连接到它。

我不确定如何组织它，我看到的一种方法是在与第一个实例建立 ssh 连接之前，通过 UserData 使用 aws cli 更新安全组。如何使用资源来组织它？我没有找到与此相关的任何信息或示例。请帮忙！谢谢！

Answer 1

您可以修改 InstanceSecurityGroup 以允许从其他实例访问：

"InstanceSecurityGroup": {
  "Type": "AWS::EC2::SecurityGroup",
  "Properties": {
    "GroupDescription": "Enables access to instance by port 80",
    "VPCId": {
        "Ref": "VPCId"
    },
    "SecurityGroupIngress": [
      {
        "IpProtocol": "tcp",
        "FromPort": "80",
        "ToPort": "80",
        "CidrIp": {
          "Ref": "ClientCIDR"
        }
      },
      {
        "IpProtocol": "tcp",
        "FromPort": "22",
        "ToPort": "22",
        "SourceSecurityGroupId": {
          "Ref": "OtherInstancesSecurityGroup"
        }
      }
    ]
  },

其中 OtherInstancesSecurityGroup 是您将分配给其他实例的新安全组。

创建新的 ec2 CloudFormation 时更新现有安全组

Update existing security group when creating new ec2 CloudFormation

amazon-ec2

amazon-web-services

amazon-cloudformation