보안 그룹 최적화 - 정답 및 해설

# 방법 1: ShopEasy 관련 보안 그룹 조회
aws ec2 describe-security-groups \
  --filters "Name=group-name,Values=ShopEasy*" \
  --query "SecurityGroups[].{Name:GroupName,ID:GroupId,Rules:IpPermissions}" \
  --output json

# 방법 2: EC2 인스턴스에 연결된 보안 그룹 확인
aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=ShopEasy*" \
  --query "Reservations[].Instances[].{
    ID:InstanceId,
    Name:Tags[?Key=='Name'].Value|[0],
    SG:SecurityGroups[].{Name:GroupName,ID:GroupId}
  }" \
  --output json

# 방법 3: 특정 보안 그룹의 인바운드 규칙 상세 확인
# (보안 그룹 ID를 위에서 확인한 값으로 변경)
aws ec2 describe-security-groups \
  --group-ids sg-xxxxxxxxx \
  --query "SecurityGroups[].IpPermissions[].{
    Protocol:IpProtocol,
    FromPort:FromPort,
    ToPort:ToPort,
    Source:IpRanges[].CidrIp,
    SGSource:UserIdGroupPairs[].GroupId
  }" \
  --output table

[
  {
    "Name": "ShopEasy-EC2-SG",
    "ID": "sg-0abc1234def56789",
    "Rules": [
      {
        "FromPort": 22,
        "IpProtocol": "tcp",
        "IpRanges": [
          {
            "CidrIp": "0.0.0.0/0",
            "Description": "SSH access"
          }
        ],
        "ToPort": 22
      },
      {
        "FromPort": 5000,
        "IpProtocol": "tcp",
        "IpRanges": [
          {
            "CidrIp": "0.0.0.0/0",
            "Description": "API server"
          }
        ],
        "ToPort": 5000
      }
    ]
  }
]

# 1. EC2 보안 그룹 ID 확인
SG_ID=$(aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=ShopEasy*" \
  --query "Reservations[].Instances[].SecurityGroups[0].GroupId" \
  --output text)
echo "EC2 보안 그룹 ID: ${SG_ID}"

# 2. 기존 SSH 규칙 제거 (0.0.0.0/0)
aws ec2 revoke-security-group-ingress \
  --group-id ${SG_ID} \
  --protocol tcp \
  --port 22 \
  --cidr 0.0.0.0/0

echo "기존 SSH 규칙(0.0.0.0/0) 제거 완료"

# 3. 내 공인 IP 확인
MY_IP=$(curl -s https://checkip.amazonaws.com)
echo "내 공인 IP: ${MY_IP}"

# 4. 새 SSH 규칙 추가 (내 IP만 허용)
aws ec2 authorize-security-group-ingress \
  --group-id ${SG_ID} \
  --protocol tcp \
  --port 22 \
  --cidr ${MY_IP}/32

echo "새 SSH 규칙 추가 완료: ${MY_IP}/32"

# 5. 변경된 규칙 확인
echo ""
echo "=== 변경 후 인바운드 규칙 ==="
aws ec2 describe-security-groups \
  --group-ids ${SG_ID} \
  --query "SecurityGroups[].IpPermissions[].{
    Protocol:IpProtocol,
    FromPort:FromPort,
    ToPort:ToPort,
    Source:IpRanges[].CidrIp
  }" \
  --output table

# EC2 퍼블릭 IP 확인
EC2_IP=$(aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=ShopEasy*" \
  --query "Reservations[].Instances[].PublicIpAddress" \
  --output text)

# SSH 접속 테스트
ssh -i "ShopEasy-Key.pem" -o ConnectTimeout=5 ec2-user@${EC2_IP}
# 접속 성공하면 보안 그룹 변경이 올바르게 적용된 것입니다

# 1. RDS 관련 보안 그룹 조회
aws ec2 describe-security-groups \
  --filters "Name=group-name,Values=*RDS*" \
  --query "SecurityGroups[].{
    Name:GroupName,
    ID:GroupId,
    InboundRules:IpPermissions[].{
      Port:FromPort,
      Protocol:IpProtocol,
      IPSource:IpRanges[].CidrIp,
      SGSource:UserIdGroupPairs[].GroupId
    }
  }" \
  --output json

# 2. RDS 인스턴스에서 보안 그룹 확인 (RDS 콘솔 경유)
aws rds describe-db-instances \
  --query "DBInstances[?starts_with(DBInstanceIdentifier,'shopeasy')].{
    DB:DBInstanceIdentifier,
    SG:VpcSecurityGroups[].{
      ID:VpcSecurityGroupId,
      Status:Status
    }
  }" \
  --output json

# EC2 보안 그룹 ID 확인
EC2_SG_ID=$(aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=ShopEasy*" \
  --query "Reservations[].Instances[].SecurityGroups[0].GroupId" \
  --output text)
echo "EC2 보안 그룹 ID: ${EC2_SG_ID}"

# RDS 보안 그룹 ID 확인
RDS_SG_ID=$(aws ec2 describe-security-groups \
  --filters "Name=group-name,Values=*RDS*" \
  --query "SecurityGroups[0].GroupId" \
  --output text)
echo "RDS 보안 그룹 ID: ${RDS_SG_ID}"

# 만약 0.0.0.0/0 규칙이 있다면 제거
aws ec2 revoke-security-group-ingress \
  --group-id ${RDS_SG_ID} \
  --protocol tcp \
  --port 3306 \
  --cidr 0.0.0.0/0

# EC2 보안 그룹을 소스로 추가
aws ec2 authorize-security-group-ingress \
  --group-id ${RDS_SG_ID} \
  --protocol tcp \
  --port 3306 \
  --source-group ${EC2_SG_ID}

echo "RDS 보안 그룹 수정 완료!"

# 변경 결과 확인
aws ec2 describe-security-groups \
  --group-ids ${RDS_SG_ID} \
  --query "SecurityGroups[].IpPermissions[]" \
  --output json

# EC2 보안 그룹 ID 확인
SG_ID=$(aws ec2 describe-instances \
  --filters "Name=tag:Name,Values=ShopEasy*" \
  --query "Reservations[].Instances[].SecurityGroups[0].GroupId" \
  --output text)

# 아웃바운드 규칙 확인
echo "=== EC2 보안 그룹 아웃바운드 규칙 ==="
aws ec2 describe-security-groups \
  --group-ids ${SG_ID} \
  --query "SecurityGroups[].IpPermissionsEgress[].{
    Protocol:IpProtocol,
    FromPort:FromPort,
    ToPort:ToPort,
    Destination:IpRanges[].CidrIp
  }" \
  --output table

# 예상 출력:
# Protocol: -1 (All), FromPort: None, ToPort: None, Destination: 0.0.0.0/0
# 이것은 기본 아웃바운드 규칙 (모든 트래픽 허용)입니다