llm-wiki/raw/official-docs/aws-alb-target-security-group-restriction-official.md

title, source_type, url, archive_url, related_branches, related_projects, tags, created

title	source_type	url	archive_url	related_branches	related_projects	tags	created
official-doc / AWS Application Load Balancer — Security Groups for Your Load Balancer (Target SG Restriction)	official-doc	https://docs.aws.amazon.com/elasticloadbalancing/latest/application/load-balancer-update-security-groups.html		feature-keycloak-header-spoofing-defense	keycloak-patterns	official-doc keycloak-patterns security aws security-group	2026-07-16

official-doc / AWS Application Load Balancer — Security Groups for Your Load Balancer (Target SG Restriction)

Layer: raw/ — 외부 자료(공식 문서)의 원문 발췌·출처 기록. 본 템플릿은 raw/official-docs/ 와 raw/company-tech-blogs/ 두 폴더가 공유. 검증된 요약은 /ingest 후 wiki/concepts/에 source-summary-template 형식으로 별도 작성. 원본은 raw에 영구 보관.

source_type 허용값

official-doc — 공식 레퍼런스 / 표준 / 사양 (AWS Elastic Load Balancing 공식 문서).

Parent / 활용 branch (필수, 최소 1개+)

Branch	이 자료가 정당화하는 결정
raw/branch-notes/feature-keycloak-header-spoofing-defense	D4 — AWS 공식 권고: target instance 의 Security Group 을 load balancer 의 Security Group 만 traffic 을 허용하도록 제한 (target SG ingress rule 의 source 를 LB SG 로 설정). 단, D4 의 backend listen-address(127.0.0.1 vs 0.0.0.0) 부분은 본 자료가 다루지 않음 (아래 Usage Boundaries 참조).

출처 / Source

• 원본 URL: https://docs.aws.amazon.com/elasticloadbalancing/latest/application/load-balancer-update-security-groups.html
• 아카이브 URL: (미확보)
• 저자 / 조직: Amazon Web Services (AWS Elastic Load Balancing 공식 문서, "Application Load Balancers" 사용자 가이드)
• 발행일: (페이지에 명시된 발행일 없음 — AWS docs 는 지속 갱신되는 living doc)
• 마지막 확인일: 2026-07-16

왜 저장했는지 / Why archived

feature-keycloak-header-spoofing-defense branch 의 D4 결정("EC2/VM 환경: Security Group inbound 를 ALB/ingress SG 만 허용")이 지금까지 UNSUPPORTED_DECISION(AWS 공식 인용 verbatim 미확보)이었다. 이 자료는 "target 의 Security Group 을 load balancer 의 Security Group 만 허용하도록 제한"하라는 AWS 공식 권고를 verbatim 으로 확보하기 위해 저장.

핵심 인용 / Key quotes (verbatim, 3~5문장)

[§Considerations] "To ensure your targets receive traffic exclusively from the load balancer, restrict the security groups associated with your targets to accept traffic solely from the load balancer. This can be achieved by setting the load balancer's security group as the source in the ingress rule of the target's security group."

[§Recommended rules — internet-facing] "The following rules are recommended for an internet-facing load balancer with instances as targets."

[§Recommended rules — internet-facing, Outbound row] "{{instance security group}} | {{instance listener}} | Allow outbound traffic to instances on the instance listener port"

[§Recommended rules — internal] "The following rules are recommended for an internal load balancer with instances as targets."

[§Recommended rules — internal, Inbound row] "{{VPC CIDR}} | {{listener}} | Allow inbound traffic from the VPC CIDR on the load balancer listener port"

Claims Extracted / 추출된 주장

Claim ID	Claim (이 자료가 직접 말하는 것)	Evidence quote	Strength	Applies to	Does not prove
ALB-SG-C1	AWS 는 target 이 load balancer 로부터만 트래픽을 받도록, target 에 연결된 security group 을 "load balancer 의 security group 을 target security group ingress rule 의 source 로 설정"하는 방식으로 제한할 것을 권고한다.	[§Considerations] "To ensure your targets receive traffic exclusively from the load balancer, restrict the security groups associated with your targets to accept traffic solely from the load balancer. This can be achieved by setting the load balancer's security group as the source in the ingress rule of the target's security group."	official-vendor-doc	ALB + EC2 instance target 의 security group 설정 (target 의 inbound rule 이 LB SG 를 source 로 지정)	target 이 non-instance target type(IP, Lambda) 일 때도 동일 메커니즘이 적용되는지, VPC 내부 다른 리소스로부터의 lateral movement 차단 여부, backend 의 listen address(0.0.0.0 vs 127.0.0.1) 권고 여부는 증명하지 않음
ALB-SG-C2	AWS 의 "Recommended rules" 예시 표는 target(instance) 의 security group 자체의 inbound rule 예시가 아니라, load balancer 자신의 security group의 inbound(source=0.0.0.0/0 또는 {{VPC CIDR}})/outbound(destination={{instance security group}}) 규칙 예시다.	[§Recommended rules — internet-facing] "The following rules are recommended for an internet-facing load balancer with instances as targets." + Outbound row: "{{instance security group}} | {{instance listener}} | Allow outbound traffic to instances on the instance listener port"	official-vendor-doc	"Recommended rules" 섹션이 실제로 무엇을 예시하는지 (LB 자신의 SG 규칙 표) 를 정확히 규정	target(instance) SG 의 ingress rule 에 "source = LB SG" 를 넣은 표 형태의 워크드 예시는 이 페이지에 존재하지 않음 — 그 권고는 §Considerations 산문(ALB-SG-C1)에만 있고 §Recommended rules 표에는 없음
ALB-SG-C3	Internal load balancer 의 "Recommended rules" 예시는 (target SG 가 아니라) load balancer 자신의 SG inbound source 로 {{VPC CIDR}} 를 사용한다 — target SG 의 source 가 아님.	[§Recommended rules — internal] "The following rules are recommended for an internal load balancer with instances as targets." + Inbound row: "{{VPC CIDR}} | {{listener}} | Allow inbound traffic from the VPC CIDR on the load balancer listener port"	official-vendor-doc	internal ALB 자신의 SG inbound 설계에서 source 가 VPC CIDR 임을 확인	이 VPC CIDR 예시는 target(instance) SG 의 inbound rule 이 아니므로, "target SG source = VPC CIDR vs LB SG" 비교의 직접 대조 예시로 오독하면 안 됨 (LB 자신의 SG 예시일 뿐)

Strength 허용값

• official-standard — RFC, 표준 사양, 언어/프로토콜 표준
• official-vendor-doc — Spring, Keycloak, AWS, Google 등 공식 벤더 문서
• official-reference — 공식 reference/API 문서
• company-case-study — 대기업/실무 기술 블로그의 특정 사례
• engineering-blog — 개인/팀 블로그의 엔지니어링 해설
• tutorial — 튜토리얼/가이드. 일반화 금지
• needs-confirmation — 원문만으로는 적용 판단 불가

Usage Boundaries / 적용 경계

• 이 자료가 직접 증명하는 것:
  • ALB-SG-C1: target(EC2 instance) 의 security group 을 "source = load balancer 의 security group" 으로 제한하는 것이 AWS 의 공식 권고임.
  • ALB-SG-C2/ALB-SG-C3: AWS 의 "Recommended rules" 예시 표는 LB 자신의 SG 규칙을 다루며, target SG 의 "source=LB SG" 워크드 예시(표)는 이 페이지에 없음 — 그 권고는 산문(Considerations)에만 존재.
• 이 자료가 증명하지 않는 것:
  • target 이 EC2 instance 가 아닌 IP target 또는 Lambda target 일 때도 동일 메커니즘이 적용되는지
  • VPC 내부의 다른(비-LB) 리소스로부터의 lateral movement 차단 여부 (target SG 를 LB SG 로 제한해도 같은 VPC 의 다른 SG 가 별도로 허용되면 우회 가능 — 이 페이지는 그 시나리오를 다루지 않음)
  • backend 가 0.0.0.0 대신 127.0.0.1 로 listen 해야 한다는 권고 (D4 의 나머지 절반 — 이 자료는 SG 레벨만 다루고 프로세스 bind address 는 다루지 않음)
• 내 프로젝트에 적용하려면 추가 확인이 필요한 것:
  • 단일 EC2 인스턴스 환경에서 ALB 없이 직접 운영 중이라면(현재 학습 프로젝트 상태), 이 권고가 적용될 실제 ALB 배포가 없다는 점을 branch-note 본문에서 명시해야 함 (documented-only 등급 유지).

메모 / Notes

• 사용자가 요청한 "recommended-rules 예시에서 source=LB SG 인 예시" 는 이 페이지에 존재하지 않는다. "Recommended rules" 표 3종(internet-facing / internal / ALB-as-NLB-target) 은 전부 load balancer 자신의 SG 규칙(inbound: 0.0.0.0/0 또는 {{VPC CIDR}}, outbound: {{instance security group}})만 보여준다. target(instance) SG 의 ingress rule 예시(= source가 LB SG)는 표가 아니라 §Considerations 산문 한 문장(ALB-SG-C1)으로만 서술되어 있다. 다음 구현자가 워크드 표 예시를 찾는다면 이 페이지가 아니라 EC2 Security Group 별도 공식 문서를 확인해야 함.
• internal LB 의 VPC CIDR 예시(ALB-SG-C3)는 target SG 예시가 아니라 LB 자신의 inbound 예시이므로, D4 의 "target SG source" 논의에 직접 대응시키면 오독.

Related / 관련

• raw/official-docs/k8s-network-policy-official — (검토 후보, 아직 raw 부재) K8s NetworkPolicy 공식 — D3 관련
• 이 자료를 인용한 wiki 요약: (아직 생성 안 됨)