是否存在可专门允许EC2访问AWS KMS的AWS安全组出站规则？

此前配置单IP /32 规则出现间歇性连接异常的核心原因：AWS KMS的公网服务入口为动态多节点IP池，会随流量扩容、网络架构调整自动滚动更新IP范围，DNS解析返回的IP值为动态轮询结果，固定单IP无法覆盖所有合法的KMS入口地址，会随机拦截部分合法连接。手动维护KMS服务CIDR列表的运维成本高，也容易出现漏配错配，不符合最小权限要求。

方案1：基于AWS官方托管前缀列表配置公网访问规则 #

这是公网访问KMS场景下的标准最小权限配置方式：

• 安全组原生支持引用AWS托管前缀列表，这类列表由AWS侧实时同步更新对应服务的所有合法IP范围，不需要用户手动维护
• 针对你所在的eu-west-2区域，出站规则配置参数为：
  • 类型：HTTPS
  • 协议：TCP
  • 端口范围：443
  • 目的地：选择托管前缀列表 com.amazonaws.eu-west-2.kms
• 配置完成后，安全组的权限边界完全收敛到当前区域KMS服务的所有合法公网IP，可自动适配AWS侧的IP动态变更，不会出现间歇性连接异常。

方案2：通过VPC接口端点实现内网访问KMS（更高安全等级） #

如果对网络隔离要求更高，可完全绕过公网访问链路，将出站流量收敛到VPC内网层面：

• 在所属VPC中创建KMS服务的接口VPC端点，端点会在指定子网内分配私有IP，访问KMS的流量全程不经过公网
• 此时安全组出站规则可进一步收敛，仅允许443端口流量指向VPC端点关联的安全组即可，无需开放任何公网IP的出站权限
• 该场景下的网络延迟更低，不存在公网链路的暴露风险。

通用注意事项 #

• 上述两种配置方案都不需要修改现有Node.js aws-sdk调用代码，SDK会通过自动端点发现逻辑适配对应服务地址，无业务侵入
• 避免为了图方便放开整个区域的全服务CIDR作为兜底，这类配置的权限范围远大于KMS本身的访问需求，不符合最小权限原则
• 如需兼容IPv6访问，可在规则中追加KMS服务对应的IPv6托管前缀列表条目即可。

内容的提问来源于stack exchange，提问作者Adam Marsh