説明
ECS サービスの AwsvpcConfiguration で AssignPublicIp が ENABLED の場合、タスクにパブリック IP が割り当てられます。実際にインターネットから接続できるかは、ルーティングとセキュリティグループにも依存します。
想定される影響
インターネットへの経路と許可ルールがそろうと、意図しない外部接続を受けるおそれがあります。
対処方法
直接公開が不要なら AssignPublicIp: DISABLED を設定し、サブネットのルートとセキュリティグループを制限してください。イメージ取得などに必要な外向き通信には、NAT または VPC エンドポイントを用意してください。
例
この例はパブリック IP の割り当てだけを無効にします。この設定だけでサブネットがプライベートサブネットに変わるわけではありません。
変更前
yaml
Resources:
ECSService:
Type: AWS::ECS::Service
Properties:
NetworkConfiguration:
AwsvpcConfiguration:
AssignPublicIp: ENABLED
Subnets:
- subnet-021345abcdef67890
変更後
yaml
Resources:
ECSService:
Type: AWS::ECS::Service
Properties:
NetworkConfiguration:
AwsvpcConfiguration:
AssignPublicIp: DISABLED
Subnets:
- subnet-021345abcdef67890