如何配置安全组让Fargate集群访问外部MongoDB数据库实例

别慌，这个问题其实是Fargate的网络特性导致的——Fargate任务的IP是动态分配的，每次重启都会变化，所以根本不用找单个公网IP来加安全组。下面给你一步步捋清楚正确的配置方式：

第一步：找到Fargate任务关联的安全组 #

1. 打开AWS ECS控制台，定位到你的目标集群
2. 进入对应的服务，切换到**「配置」标签页，往下翻到「网络」**区域
3. 这里会显示任务绑定的安全组（名称通常带ecs-service或task-execution标识），复制这个安全组的ID

第二步：给数据库安全组添加入站规则 #

1. 打开托管MongoDB的控制台（如果是AWS DocumentDB就去DocumentDB控制台，自建在EC2上就去EC2控制台的安全组页面）
2. 找到数据库实例绑定的安全组，进入**「入站规则」**的编辑界面
3. 添加一条新规则：
   • 类型选**「自定义TCP」**（或者直接选MongoDB，端口自动匹配27017）
   • 端口范围填27017
   • 来源选择**「自定义」**，粘贴刚才复制的Fargate任务安全组ID
   • 描述可以写Allow Fargate tasks to access MongoDB
4. 保存规则即可

额外避坑提示 #

• 建议把数据库连接字符串换成内网私有IP：如果Fargate任务在VPC私有子网里，访问公网IP会绕路，既慢又容易超时，而且数据库通常不需要暴露公网
• 如果Fargate和数据库不在同一个VPC，还需要配置VPC对等连接，再在安全组里允许对等VPC的CIDR或安全组访问
• 千万别尝试添加单个公网IP，Fargate任务每次重启都会获取新IP，这种规则很快就会失效

内容的提问来源于stack exchange，提问作者chrisaitken