AWS控制平面EC2实例扫描API调用能否被VPC控制拦截？

你的朋友说得没错——通过AWS账户权限调用的EC2控制平面API（比如获取实例信息的DescribeInstances等操作），确实不受你VPC的NACL、安全组等网络控制手段拦截，原因如下：

1. 控制平面与数据平面的核心差异

   • 控制平面API是直接与AWS全球服务端点（比如ec2.region.amazonaws.com）通信的，所有请求都走公网或AWS内部骨干网，完全不进入你的VPC网络范围。这类调用的本质是向AWS服务提交资源管理请求，而非直接访问你的EC2实例内部或实例的网络端口。
   • 数据平面流量才会进入你的VPC，比如EC2实例的SSH访问、实例对外的HTTP请求、跨实例的内部通信等，这些才会受安全组、NACL、VPC端点（Gateway/Interface）等VPC网络规则管控。

2. 针对SaaS提供商场景的补充说明
   如果你作为SaaS提供商，给客户AWS账户授予了你自身AWS环境中EC2资源的只读权限，客户发起的控制平面API调用（比如扫描你的EC2实例属性），流量路径是：客户的客户端/服务 → AWS公共API端点 → AWS服务处理后返回结果。整个流程完全不经过你的VPC，所以你的VPC网络控制规则根本触达不到这些请求。

   如果你想限制这类访问，不能依赖VPC层面的配置，而是要通过IAM权限精细化管控（比如仅允许客户访问特定实例、限制API调用频率）、AWS CloudTrail监控调用行为，或者结合**AWS Organizations的SCP（服务控制策略）**来进一步约束权限范围。

内容的提问来源于stack exchange，提问作者CIGEEK