AWS安全组能否基于源IP限制跨账户EKS集群的重定向访问请求

1. 仅靠安全组规则无法实现你描述的管控目标 #

• 安全组的规则匹配是基于TCP/IP层的实际连接源IP完成的，它完全无法识别应用层携带的跳转上下文、来源标识类信息。
• 你观察到的重定向流程是标准HTTP 3xx跳转逻辑的固有特性：
  1. 用户本地浏览器向集群A的负载均衡器发起请求，访问https://sample.site.clusterA.com
  2. 集群A的负载均衡器返回302响应，将OIDC登录页地址作为Location头返回给用户浏览器
  3. 浏览器收到响应后，直接从用户本地网络向集群B的OIDC地址发起新的HTTPS请求，全程集群A的NAT网关从未参与这个跨集群的请求转发流程，因此集群B看到的实际源IP永远是用户本地公网IP，不可能是集群A的NAT弹性IP。
• 你期望的基于请求原始发起源IP（而非用户IP）做安全组规则匹配的能力，安全组本身从设计上就不具备：它看不到HTTP层的跳转链路溯源信息，只能匹配真正和你的资源建立TCP连接的对端IP。

2. 可落地的等效管控方案 #

你可以根据现有架构选型，选择以下任意一种方案实现“阻断用户直接访问OIDC登录URL，仅允许经由集群A跳转的请求访问”的核心诉求：

• 应用层签名校验（最适配现有架构的方案）
  集群A在返回302跳转响应时，为跳转URL追加一个短期有效的、和当前用户会话绑定的加密签名参数（比如有效期120秒的一次性JWT token）。集群B的OIDC服务收到请求后，第一时间校验该参数的合法性，参数缺失、签名无效、过期的请求直接返回403拒绝。这种方式不需要调整现有网络链路，从逻辑上就可以阻断用户手动拼接URL直接访问的行为。
• 改造为服务端代理链路（可直接复用安全组IP管控）
  如果你希望完全依托源IP规则做管控，可以调整流量链路，取消客户端直连集群B的环节：在集群A的入口Ingress/负载均衡器层配置反向代理规则，所有访问OIDC页面的请求，由集群A的工作节点通过NAT网关出口转发到集群B的OIDC服务。此时集群B接收到的流量源IP就是集群A的NAT弹性IP，你就可以直接在集群B的安全组上配置规则，仅放行x.x.x.x/32的443端口入站流量，其他来源全部阻断。
• 依托OIDC协议原生能力管控
  作为标准OIDC流程的固有能力，你只需要将集群A的域名配置为OIDC服务的允许跳转URI白名单，所有未携带集群A授权上下文的直接访问请求，OIDC服务会从协议层面自动拒绝，不需要额外开发管控逻辑。

内容的提问来源于stack exchange，提问作者Vishal