Amazon web services 仅允许ECR请求的安全组出口规则

当使用ECR存储容器映像以与ECS一起使用时，EC2实例（或Fargate服务）必须具有允许访问（通过公共互联网）特定于帐户的存储库URI的安全组

许多组织有严格的IP白名单规则，通常不允许为所有IP启用出站端口443

ECR没有可用的VPC端点接口/网关，可能与大多数AWS服务一样，其IP地址具有弹性，可以随时更改

---

那么，如何向安全组添加出口规则，允许通过端口443对ECR URI进行出站访问，而不向所有IP地址开放？

尽管端点的IP地址可能会更改，但它只会更改为相当大的CIDR块中的另一个IP地址。Amazon将其所有IP地址范围发布在一个.json文件中，可在以下位置获得：

您可以将其缩小到部署到的区域中EC2和AMAZON服务的IP地址范围。尽管范围相当大。

打开

---

DNS（UDP）53用于0.0.0.0/0

和

HTTPS 443用于0.0.0.0/0

谢谢！我将编写一个lambda，它将根据这些范围定期更新SG。不完美，但这比完全开放端口要好。谢谢，但这会开放端口53和443上的所有流量，这违反了我们的安全政策。我建议遵循“最低特权”原则，例如，不要在全球范围内打开您的组件-只向已知组件打开。