AWS: RDS + CloudFormation - peering VPC

Question

Então aqui está minha situação: Somos uma startup jovem em expansão e decidimos experimentar a Mesosphere DCOS Community. A edição da comunidade implanta uma pilha de Masters, Slaves e LBs no AWS CloudFormation usando um modelo. ( nosso modelo ) (editar o modelo para usar um VPC existente causa um erro: Erro de validação do modelo: Erro no formato do modelo: Unresolved resource dependencies [<target_vpc_id>] in the Resources block of the template )

A edição da comunidade tem dois limites (não consigo encontrar onde esses limites estão documentados):

• não pode ser implantado em um VPC existente.
• cria um VPC single-AZ para cada nova implantação.

Agora, gostaríamos de ativar esse novo cluster para falar com o RDS. Obviamente, nos deparamos com problemas:

• A instância do RDS não pode ser implantada em uma única VPC AZ
• O RDS VPC pode ser comparado ao DCOS VPC, mas como as instâncias do RDS têm apenas um ponto de extremidade (sem IP estático), isso precisa ser resolvido do outro VPC para um endereço local e não do IP global.

Qual seria a melhor maneira de abordar essa situação?

EDITAR: Então, adicionei uma instância RDS somente privada e seu endpoint agora resolve corretamente seu endereço IP local de qualquer lugar. Agora, meu cluster DCOS está localizado em uma VPC que é 10.0.0.0/16 e é chamada de VPC-A , e minha instância do RDS está em VPC-B , que é 172.31.0.0/16 .

Agora, para permitir a comunicação entre as duas redes, adicionei um peering de VPC entre VPC-A e VPC-B .

Em seguida, eu configuro as rotas em VPC-B como: Destino: 10.0.0.0/16 Targent: <vpc_peering_id>

e em VPC-A como: Destino: 172.31.0.0/16 Alvo: <vpc_peering_id>

Configuração do grupo de segurança para a instância do RDS de destino em VPC-B Inbound All Traffic Todas as portas CIDR: 10.0.0.0/16

Configurações do grupo de segurança para instâncias de origem em VPC-A : Saída: todo o tráfego de todas as portas CIDR: 0.0.0.0/0

Mas, novamente, ainda não consigo fazer conexões de VPC-A para VPC-B .

Também verifiquei as configurações do grupo de segurança para todas as instâncias pertencentes a VPC-A : todo o tráfego de saída é permitido. E em VPC-B : todo o tráfego de entrada de 10.0.0.0/16 é permitido na porta 3306 .

O que está acontecendo aqui?