为什么有相同的安全组，以及如何可以有不同的VPC？

Question

我想创造AWSEFS，它是在文档说，我可以将它附加只的情况下，具有相同的安全组作为我VPC。

如何知道我的VPC的安全组？

假设它是default和我的情况有不同的安全组，通过不同的向导在不同的时间创建。怎么可能，这个实例属于VPC，但有不同的安全组，比那个VPC？

Answer 1

亚马逊弹性文件系统（EFS）是一个区域服务。如果您在特定区域创建EFS（例如：us-east-1），则可以在同一us-east-1区域的不同可用区域中创建多个EC2实例，以访问EFS以读取和写入数据。

在特定区域内的所有EC2实例（例如：美国东1）必须属于一个VPC和子网（除非你使用EC2-经典）。一个VPC映射到一个区域，一个子网映射到一个可用区域。您可以在VPC的可用区域中设置安装目标，以便EC2实例可以通过安装目标连接到EFS并共享相同的文件系统。

查看AWS文档中的以下图像。

现在，我们怎样才能确保我们的EFS只能由某一组EC2实例的访问，而不是从所有的子网中的所有实例？

这就是安全组派上用场。我们可以将安全组分配给EFS挂载点，以便只有给定安全组所连接的EC2才能通过挂载目标访问EFS。任何其他安全组中的EC2实例都不能访问EFS。这是我们限制访问EFS的方式。

所以，当你安装EFS到EC2实例，我们必须对EFS相同的安全组添加到EC2实例。

Amazon EC2实例和安装目标都具有关联的安全组。这些安全组充当一个虚拟防火墙，用于控制它们之间的流量。如果您在创建装载目标时未提供安全组，Amazon EFS会将VPC的默认安全组与其关联。

无论如何，以使（因此文件系统）的EC2实例和设置对象之间的通信，则必须配置以下规则在这些安全组：

• 的安全组，你有关联安装目标必须允许来自要安装文件系统的所有EC2实例的NFS端口上的TCP协议的入站访问。

• 是挂载文件系统必须有一个安全组，允许出站访问到安装目标NFS端口上的每个EC2实例。

了解更多关于EFS安全组here。

希望这会有所帮助。