AWS RDS - オリジナルのセキュリティ設定でリード・レプリカ・スクリューを作成できますか？

Question

クライアントが私に触れないと主張するRDSインスタンスがあります。しかし、コピーを作成して新機能のテストに使用して、元のRead Replicaを作成し、完了したらRead Replicaをスタンドアロンに昇格させましたインスタンス。その後、私のIPだけを許可する新しいセキュリティグループを作成し、そのセキュリティグループを使用するように変更されたレプリケートされたインスタンスで（私は確認した）私のコピーインスタンスは正常に動作します。

私のクライアントは、元のMySQL RDSインスタンスにログインすることを決めました（何らかの理由でやりたがっているように）、8ヶ月ぶりにアクセスできないと私に苦情を申しました。彼はError 60に接続できません。彼は私を非難しています。

したがって最初のこのプロセスでは、元のRDSのセキュリティグループまたは元のセキュリティグループの受信許可の設定が不正である可能性がありますか？

セキュリティグループの設定を見ると、どのように動作するのか正確には分かりません。これは、このようなセットアップです：

RDS uses Security Group sg-001 [real ids changed for readability] 
sg-001: Inbound TCP 3306 Source: sg-002 
sg-002: Inbound TCP 80 Source: sg-003 
sg-003: Inbound TCP 80 Source: 0.0.0.0/0 
     Inbound TCP 443 Source: 0.0.0.0/0 

だから私は（SG-001を使用しています）RDSはまったく着信トラフィックを持つことができる、ではないだろうと私には見える、ということ読んだとき、Webサービス（つまりAWSでも実行されています）は引き続きRDSに読み書きできます。誰かが私がこれをより良く理解するのを助けることができるか

Answer 1

あなたの最初の質問では、クライアントがデータベースに突然接続できなくなるような問題は発生していないはずです。 AWSアカウントでCloudTrailが有効になっていますか？そうであれば、RDSインスタンスに加えられたすべての変更を確認して、何が起こったのかを正確に説明できるはずです。あなたの2番目の質問については

は、ここにあなたのセキュリティグループルールのそれぞれの意味は次のとおりです。SG-001で

sg-001: Inbound TCP 3306 Source: sg-002 

サーバSG-002のメンバーである任意のサーバからのポート3306上の着信トラフィックを許可します。

sg-002: Inbound TCP 80 Source: sg-003 

sg-002のサーバは、sg-003の任意のサーバからのポート80で着信トラフィックを許可します。

sg-003: Inbound TCP 80 Source: 0.0.0.0/0 
     Inbound TCP 443 Source: 0.0.0.0/0 

sg033gのサーバーは、どこからでもポート80と443で着信トラフィックを許可します。

sg-001がデータベース、sg-002がWebサーバー、sg-003がElastic Load Balancerと仮定します。この場合、インターネット上の任意のコンピュータは、ELBのポート80および443に接続できます。 Webサーバーは、ロードバランサからのトラフィックのみを受け入れます（つまり、サーバーから直接ページをロードできず、ELBを経由する必要があります）。データベースはWebサーバーからの接続のみを受け入れます。 。