如何限制AWS资源仅对特定ECS集群开放 及Lambda定向触发集群内服务

一、ECS集群AWS资源访问权限限制实现 #

• 核心采用IAM角色权限隔离方案：为两个ECS集群分别创建独立的ECS任务角色，禁止两个集群共用同一个任务角色
• 仅给需要访问Lambda、SQS等AWS资源的集群的任务角色绑定对应服务的权限策略，另一个集群的任务角色仅保留ECS运行必需的基础权限（如拉取ECR镜像、写入CloudWatch日志等），不添加任何Lambda、SQS相关的权限语句
• 可补充网络层加固：为两个集群配置不同的安全组，无权限集群的安全组出站规则直接封禁Lambda、SQS等服务的公开端点；如果使用VPC端点访问AWS服务，仅给有权限的集群所属子网配置VPC端点路由
• 权限验证方式：在无权限集群内启动测试任务，执行aws sts get-caller-identity确认身份后，再尝试调用aws lambda list-functions等操作，确认返回权限拒绝报错即可

二、Lambda定向触发指定集群Java服务实现 #

因为两个集群业务代码完全一致，所有集群区分逻辑全部通过外部配置/路由实现，不需要修改业务代码，根据你的服务触发方式可选以下方案：

方案1：Java服务为HTTP接口型常驻服务 #

• 为两个集群分别挂载独立的内部应用负载均衡（ALB），分别分配不同的内部访问域名，或在同一个ALB下配置不同的路径前缀区分两个集群的转发规则
• Lambda侧需要触发哪个集群，就调用对应集群的ALB域名/路径即可，Lambda执行角色需配置ALB调用权限，集群安全组放通Lambda的访问来源

方案2：Java服务为事件驱动型常驻服务 #

• 为两个集群分别创建独立的SQS触发队列，在ECS任务定义中为不同集群的容器注入不同的环境变量，传入当前集群对应的监听队列URL
• Lambda侧需要触发哪个集群，就往对应集群的SQS队列发送触发消息即可，业务代码仅需读取环境变量中的队列URL完成监听，逻辑完全一致

方案3：Java服务为一次性任务型服务 #

• Lambda直接调用ECS的RunTask API，调用时指定目标集群的ARN、对应的任务定义参数即可，需要触发哪个集群就传入对应集群的配置参数
• Lambda执行角色需添加ecs:RunTask权限，资源范围限定到两个集群的ARN即可

注意：以上所有实现均不需要修改业务代码，集群间的差异全部通过外部IAM权限、环境变量、流量路由实现，不会出现代码分支导致的业务逻辑不一致问题。

内容的提问来源于stack exchange，提问作者Aditya Raman