ClamAVをインターネットに接続できないEC2で稼働させる

やりたいことは、Internet GatewayとNAT Gatewayのどちらも使えない VPCサブネットから ClamAVを動かすこと。動かすEC2のOSは Amazon Linux2。

ECのインスタンスプロファイルに適用する IAMロールを作成する。EC2インスタンスにSSMでアクセスするので付与する権限はマネージドポリシーの AmazonSSMManagedInstanceCore だけ。

サブネットにVPCエンドポイントを作る。必要なエンドポイントは AWS System Managerのユーザガイドにある通り。東京リージョンなら下の6つを設定した。今回はKMSを使わない。

com.amazonaws.ap-northeast-1.s3 は Gateway型を使う。Inteface型だと、この後の yum で詰む。

VPCエンドポイントにアクセスできるように、セキュリティグループとネットワークACLで通信を許可する。

S3を除いたインターフェイス型は同じサブネットにENIが作られるので、それとの通信を許可する。インバウンドとアウトバウンドの両方を全てのポートを許可する。

S3はゲートウェイのIPアドレスを調べる。