CDKで作成したALBのSGにて意図しない「0.0.0.0/0」のインバウンドルールが付与されている

こんにちはこーへいです！

今回はCDKで作成したALBのセキュリティグループにて意図していないインバウンドルールが追加されていたので確認した結果を共有します。

結論

「addListener」メソッドの「open」プロパティが原因です。このルールが不要な場合は明示的にopenの値をfalseに変更しましょう。

以下はopenプロパティの説明を引用したものです(※機械翻訳)。

誰でもこのリスナーに接続できるようにします。 これを指定すると、リスナーは誰でもアクセスできるようになります。 内部ロードバランサーの場合は、同じ VPC 内の誰でもです。 もしこのロードバランサにアクセスできる人をもっと選別したければ、 これを false にして、リスナーのコネクションオブジェクトを使ってリスナーへの アクセスを選別して許可してください。

デフォルトではopenプロパティはtrueで設定されているため、自動的にSGのインバウンドルールにリスナーポートとプロトコルに対応した「0.0.0.0/0」からアクセス可能なルールが追加されています。

    const appAlbListener = appAlb.addListener('AppAlbListener', {
      port: 8443,
      protocol: elbv2.ApplicationProtocol.HTTP,
      // open: false,
    });

    const appAlbListener = appAlb.addListener('AppAlbListener', {
      port: 8443,
      protocol: elbv2.ApplicationProtocol.HTTP,
      open: false,
    });

にするとインバウンドルールも消えます。