在特定VPC上创建AWS RDS

Question

我有动态部署在EC2实例上的web应用程序(可伸缩)。我还有RDS mysql实例，它是由python用boto3动态创建的。现在RDS的端口3306是公共的，但我想只允许从我的EC2连接到特定的VPC。是否可以在特定私有网络上创建RDS (与EC2实例相同)？创建这样的EC2 + RDS集的最佳实践是什么？

Answer 1

RDS显示一个端点FQDN并不意味着它是“公共的”。您需要处理私有网络子网、安全组才能开启连接。

创建RDS时，必须创建db_subnet并指向特定的私有网络子网。这是RDS所在的逻辑网络。

下一步是访问:只需将RDS附加到允许EC2访问3306的安全组。

参考：Creating a MySQL DB Instance and Connecting to a Database on a MySQL DB Instance

Answer 2

将您的Amazon实例放在与Amazon EC2数据库相同的VPC中肯定是最佳实践。建议的安全性为：

• 为您的web应用程序创建安全组 EC2实例在私有子网中
• 在RDS实例上配置安全组以允许来自<代码>E212 Web-SG <代码>E116安全的传入MySQL (3306)流量

如果您的RDS实例当前在不同的私有网络中，您可以拍摄快照，然后从该快照创建新的数据库。

如果您使用的是亚马逊弹性负载均衡器，您甚至可以将您的 EC2实例放在私有子网中，因为所有访问都将通过负载均衡器进行。