有效管理 AWS 安全組對(duì)于維護(hù)安全且經(jīng)濟(jì)高效的云環(huán)境至關(guān)重要。安全組是 AWS 網(wǎng)絡(luò)安全的重要組成部分，但隨著時(shí)間的推移，未使用的安全組會(huì)不斷累積。這些未使用的組不僅會(huì)使您的環(huán)境變得混亂，還可能帶來(lái)安全風(fēng)險(xiǎn)或不必要地增加成本。

在本文中，我們將探討如何使用 Python 和 Boto3 識(shí)別 AWS 環(huán)境中未使用的安全組、驗(yàn)證它們并確保它們不被任何其他資源引用。我們還將研究如何安全地確定是否可以刪除這些組。

先決條件

要學(xué)習(xí)本教程，您需要以下內(nèi)容：

AWS 賬戶：確保您有權(quán)訪問(wèn)要搜索未使用的安全組的 AWS 環(huán)境。
Boto3 已安裝：您可以通過(guò)運(yùn)行以下命令來(lái)安裝 Boto3 Python SDK：

   pip install boto3

已配置 AWS 憑證：確保您使用 AWS CLI 或使用 IAM 角色或環(huán)境變量直接在代碼中配置了 AWS 憑證。

代碼分解

讓我們看一下代碼，用于識(shí)別給定 AWS 區(qū)域中未使用的安全組、驗(yàn)證它們并檢查它們是否被任何其他組引用。

步驟 1：獲取所有安全組和 ENI

   pip install boto3

• 獲取安全組：我們首先調(diào)用describe_security_groups方法獲取指定區(qū)域內(nèi)的所有安全組。
• 檢索網(wǎng)絡(luò)接口：接下來(lái)，我們使用describe_network_interfaces檢索所有網(wǎng)絡(luò)接口。每個(gè)網(wǎng)絡(luò)接口都可以有一個(gè)或多個(gè)與其關(guān)聯(lián)的安全組。
• 識(shí)別已使用的安全組：對(duì)于每個(gè)網(wǎng)絡(luò)接口，我們將關(guān)聯(lián)的安全組 ID 添加到名為used_sg_ids 的集合中。
• 查找未使用的組：然后我們將安全組 ID 與正在使用的組 ID 進(jìn)行比較。如果一個(gè)組沒(méi)有被使用（即它的ID不在used_sg_ids集合中），我們認(rèn)為它沒(méi)有被使用，除了默認(rèn)的安全組，它不能被刪除。

步驟 2：檢查安全組引用

import boto3
from botocore.exceptions import ClientError

def get_unused_security_groups(region='us-east-1'):
    """
    Find security groups that are not being used by any resources.
    """
    ec2_client = boto3.client('ec2', region_name=region)

    try:
        # Get all security groups
        security_groups = ec2_client.describe_security_groups()['SecurityGroups']

        # Get all network interfaces
        enis = ec2_client.describe_network_interfaces()['NetworkInterfaces']

        # Create set of security groups in use
        used_sg_ids = set()

        # Check security groups attached to ENIs
        for eni in enis:
            for group in eni['Groups']:
                used_sg_ids.add(group['GroupId'])

        # Find unused security groups
        unused_groups = []
        for sg in security_groups:
            if sg['GroupId'] not in used_sg_ids:
                # Skip default security groups as they cannot be deleted
                if sg['GroupName'] != 'default':
                    unused_groups.append({
                        'GroupId': sg['GroupId'],
                        'GroupName': sg['GroupName'],
                        'Description': sg['Description'],
                        'VpcId': sg.get('VpcId', 'EC2-Classic')
                    })

        # Print results
        if unused_groups:
            print(f"\nFound {len(unused_groups)} unused security groups in {region}:")
            print("-" * 80)
            for group in unused_groups:
                print(f"Security Group ID: {group['GroupId']}")
                print(f"Name: {group['GroupName']}")
                print(f"Description: {group['Description']}")
                print(f"VPC ID: {group['VpcId']}")
                print("-" * 80)
        else:
            print(f"\nNo unused security groups found in {region}")

        return unused_groups

    except ClientError as e:
        print(f"Error retrieving security groups: {str(e)}")
        return None

• 檢查引用：此函數(shù)檢查特定安全組是否被任何其他安全組引用。它通過(guò)根據(jù)入站 (ip-permission.group-id) 和出站 (egress.ip-permission.group-id) 規(guī)則過(guò)濾安全組來(lái)實(shí)現(xiàn)此目的。
• 返回引用組：如果引用組，則該函數(shù)返回引用安全組的列表。如果沒(méi)有，則返回 None。

步驟 3：驗(yàn)證未使用的安全組

def check_sg_references(ec2_client, group_id):
    """
    Check if a security group is referenced in other security groups' rules
    """
    try:
        # Check if the security group is referenced in other groups
        response = ec2_client.describe_security_groups(
            Filters=[
                {
                    'Name': 'ip-permission.group-id',
                    'Values': [group_id]
                }
            ]
        )

        referencing_groups = response['SecurityGroups']

        # Check for egress rules
        response = ec2_client.describe_security_groups(
            Filters=[
                {
                    'Name': 'egress.ip-permission.group-id',
                    'Values': [group_id]
                }
            ]
        )

        referencing_groups.extend(response['SecurityGroups'])

        return referencing_groups

    except ClientError as e:
        print(f"Error checking security group references: {str(e)}")
        return None

• 驗(yàn)證未使用的安全組：在最后一步中，腳本首先檢索未使用的安全組。然后，對(duì)于每個(gè)未使用的組，它會(huì)檢查是否有任何其他安全組在其規(guī)則中引用它。
• 輸出：腳本輸出該組是否被引用，如果沒(méi)有，則可以安全刪除。

運(yùn)行腳本

要運(yùn)行腳本，只需執(zhí)行 validate_unused_groups 函數(shù)即可。例如，當(dāng)區(qū)域設(shè)置為 us-east-1 時(shí)，腳本將：

1. 檢索 us-east-1 中的所有安全組和網(wǎng)絡(luò)接口。
2. 識(shí)別未使用的安全組。
3. 驗(yàn)證并報(bào)告這些未使用的組是否被其他安全組引用。

示例輸出

def validate_unused_groups(region='us-east-1'):
    """
    Validate and provide detailed information about unused security groups
    """
    ec2_client = boto3.client('ec2', region_name=region)
    unused_groups = get_unused_security_groups(region)

    if not unused_groups:
        return

    print("\nValidating security group references...")
    print("-" * 80)

    for group in unused_groups:
        group_id = group['GroupId']
        referencing_groups = check_sg_references(ec2_client, group_id)

        if referencing_groups:
            print(f"\nSecurity Group {group_id} ({group['GroupName']}) is referenced by:")
            for ref_group in referencing_groups:
                print(f"- {ref_group['GroupId']} ({ref_group['GroupName']})")
        else:
            print(f"\nSecurity Group {group_id} ({group['GroupName']}) is not referenced by any other groups")
            print("This security group can be safely deleted if not needed")

結(jié)論

使用此腳本，您可以自動(dòng)執(zhí)行在 AWS 中查找未使用的安全組的過(guò)程，并確保您不會(huì)保留不必要的資源。這有助于減少混亂、改善安全狀況，并可能通過(guò)刪除未使用的資源來(lái)降低成本。

您可以將此腳本擴(kuò)展為：

• 根據(jù)標(biāo)簽、VPC 或其他條件處理額外的過(guò)濾。
• 在檢測(cè)到未使用的組時(shí)實(shí)施更高級(jí)的報(bào)告或警報(bào)。
• 與 AWS Lambda 集成以進(jìn)行自動(dòng)定期檢查。

確保您的 AWS 環(huán)境安全且組織良好！

以上是使用 Python 和 Boto3 查找并驗(yàn)證 AWS 中未使用的安全組的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！