AWSラムダ - AWS APIと話すための最低限のセキュリティグループは何ですか？

Question

私はいくつかのAWS APIと話す必要のあるラムダを持っています。 インスタンスのIPアドレスを取得し、Route53レコードセットを更新するために、EC2およびRoute53 APIにアクセスします。

ラムダは、ap-southeast-2のプライベートVPCで動作します。 APIが動作するために呼び出すためには、私はラムダのセキュリティグループに、次の出口のルールを追加する必要があります。

resource "aws_security_group_rule" "https-egress-lambda-to-all" { 
    type = "egress" 
    from_port = 443 
    to_port = 443 
    protocol = "tcp" 
    security_group_id = "${aws_security_group.lambda-sg.id}" 
    cidr_blocks = ["0.0.0.0/0"] 
} 

現時点では、このルールは"allow this lambda to talk to anything on the internet via port 443"を言います。その声明を"allow this lambda to talk to the AWS API servers only"に絞りたいと思います。

私はVPCエンドポイントがこれが行われるはずの方法かもしれないと思っていましたが、それは明らかにS3のためだけに機能します。

セキュリティグループの出力ルールをロックして、AWS APIサーバのみにアクセスできる方法はありますか。

Answer 1

AWSは、サービスに使用するIP範囲を公開します。これらのIPアドレス範囲のみを許可するようにルールを設定できます。彼らは頻繁に変更されるので、おそらくそれを自動化したいと思うでしょう。詳細は次のとおりです：https://docs.aws.amazon.com/general/latest/gr/aws-ip-ranges.html