有没有办法为 AWS 安全组规则添加描述

Question

我现在有 5 个不同的安全组，我已尽力组织它们。

我有时需要根据我所在的位置打开对某些实例的 SSH 访问，所以我从我当前的 IP 添加规则用于入站端口 22。我可以很好地进入，但为了保持整洁我我希望能够指定这个 IP 来自格拉斯哥的办公室，这个 IP 来自伦敦、纽约等。但我看不出有什么方法可以放置那一点点或额外的信息。

我们有几个人在更新安全组，过了一段时间后，有些人忘记删除临时规则，这可能会变得有点混乱，当我们想要清理安全组并删除这些临时规则时，事情会变得困难保留永久性的。

我在文档中看不到任何允许我在每条规则旁边添加这个小描述的内容；我错过了什么吗？

Answer 1

不，你没有遗漏一些东西，但你无法在安全组中为 IP 添加描述。您可以安排的另一种方法是为资源创建一个主安全组，并按您办公室的名称创建多个安全组，并将它们附加到主安全组。并且您必须为 IP 地址维护单独的文档。

Answer 2

虽然安全组没有描述字段，但您可以（并且应该）使用标签向每个安全组添加元数据。

我建议您为每个名为 description 的安全组创建标签，并在其中提供详细说明。

通常对 EC2 对象有用的其他标签是 owner、function 和 environment。

因此对于 SSH SG，您可以定义如下标签：

owner=rodrigo m
function=secure ssh access
environment=production
description=Glasgow's office IP x.x.x.x London Office IP y.y.y.y
updated_on=8/9/2016

Answer 3

我在这里很困惑，因为它看起来像命令

aws ec2 describe-security-groups --generate-cli-skeleton

允许基于标签名称和值的过滤器

{
    "DryRun": true, 
    "GroupNames": [
        ""
    ], 
    "GroupIds": [
        ""
    ], 
    "Filters": [
        {
            "Name": "", 
            "Values": [
                ""
            ]
        }
    ]
}

这将直接回答您关于如何将元数据应用到您想要的安全组的问题，但我没有在任何 aws cli 命令中看到设置该元数据的方法。

我看到另一种成功简化安全组的方法是使用 VPN 配置，为您的用户提供稳定的 IP 地址端点，这样您就不会在安全组中挖洞，而是移动受加密保护的 VPN 的可信端点。

Answer 4

最近更改了此问题的答案。

安全组规则现在有一个描述字段

AWS 公告（2017 年 8 月 31 日）https://aws.amazon.com/about-aws/whats-new/2017/08/simplify-management-of-security-groups-with-security-group-rule-descriptions/

Amazon EC2 now allows customers to add a short description to individual security group rules. Using this functionality, customers can add details like when and why a certain security group rule was created or updated. This functionality simplifies management of security groups as customers no longer need to track this information using spreadsheets or documents.

有没有办法为 AWS 安全组规则添加描述

Is there a way to add a description for AWS Security Group rules

amazon-web-services

aws-security-group