Почему безопасно игнорировать или блокировать красные флажки в проверках безопасности «Группы безопасности: неограниченный доступ к определенным портам» и «Группы безопасности: неограниченный доступ» для групп безопасности, созданных сервисами каталогов AWS?
AWS Directory Services – это управляемый сервис, который автоматически создает группу безопасности AWS в вашем VPC с сетевыми правилами для входящего и исходящего трафика контроллеров управляемых доменов AWS. Стандартные правила для входящего трафика разрешают трафик из любого источника (0.0.0.0/0) на портах, которых требует Active Directory. Эти правила не являются уязвимостями безопасности, поскольку трафик, направленный к контроллерам домена ограничен трафиком из вашего VPC, других VPC, участвующих в пиринговом соединении, или сетей, подключенных с использованием AWS Direct Connect, AWS Transit Gateway или виртуальной частной сети. Кроме того, ENI, к которым прикреплена группа безопасности, не имеют и не могут иметь прикрепленные эластичные IP-адреса, что ограничивает входящий трафик локальным VPC и трафиком, который направляется VPC. Группы безопасности, созданные AWS Directory Services, могут распознаваться по имени группы защиты (всегда в формате «идентификатор-каталога_контроллеры» (например, d-1234567890_controllers) или по описанию группы (всегда в формате «группа безопасности, созданная AWS для контроллеров каталога идентификатор-каталога»).