安全组是什么，它们如何控制访问？

Question

安全组是什么，它们如何控制访问？

Accepted Answer

**安全组** 是虚拟防火墙，用于控制 AWS 资源（如 EC2 实例）的 **入站和出站流量** — 定义允许哪些端口、协议和来源。它们是 AWS 网络安全的基础。

## 安全组的作用

```text
A SECURITY GROUP is a virtual firewall attached to resources (EC2, RDS, etc.):
  → INBOUND rules — what traffic can REACH the resource (port, protocol, source)
  → OUTBOUND rules — what traffic the resource can SEND OUT
  → only ALLOW rules (no explicit deny); everything not allowed is DENIED by default
  → STATEFUL — if inbound is allowed, the response is automatically allowed back
```

## 规则示例

```text
Inbound rules for a web server:
  Allow TCP 443 (HTTPS) from 0.0.0.0/0   → anyone can reach HTTPS
  Allow TCP 80  (HTTP)  from 0.0.0.0/0   → anyone can reach HTTP
  Allow TCP 22  (SSH)   from <your IP>/32 → ONLY your IP can SSH (not the whole world!)
→ everything else is blocked (default deny)
```

## 一个强大的模式：引用其他安全组

```text
Rules can allow traffic from ANOTHER security group (not just IPs):
  → DB security group: allow port 5432 FROM the app-server security group
  → means: only the app servers (whatever their IPs) can reach the database
→ Tiered security: web SG → app SG → db SG (each layer only accepts from the previous)
```

## 安全组 vs NACL

```text
SECURITY GROUPS → at the RESOURCE level; stateful; allow-only; the primary tool
NETWORK ACLs (NACLs) → at the SUBNET level; stateless; allow AND deny rules;
  a secondary, coarser layer
→ Use security groups as the main control; NACLs for subnet-wide rules.
```

## 为什么这很重要

理解安全组很重要，因为它们是 **AWS 网络安全** 的基础 — 控制哪些流量可以到达你的资源 — 因此这是安全部署资源的基本实践知识。

安全组充当 **虚拟防火墙**，定义允许哪些流量（端口、协议、来源）进出资源，具有安全默认模型（仅允许规则；未明确允许的流量都被拒绝）和有状态行为（对允许流量的响应自动被允许）。

理解如何正确配置规则对安全至关重要 — 例如，允许来自任何地方的 HTTP/HTTPS 用于 Web 服务器，但要 **将 SSH 访问限制到特定 IP**（而不是整个互联网 — 一种常见且重要的做法，因为向全世界暴露 SSH 是一个安全风险）。

**引用其他安全组的强大模式**（允许数据库的安全组仅接受来自应用服务器安全组的流量，不管其 IP）启用了清晰的 **分层安全架构**（web → app → database，每一层只接受来自前一层的流量）— 这是一种最佳实践方法，可以限制暴露面并在网络级别遵循最小特权原则。

理解 **安全组 vs NACL**（安全组在资源级别作为主要的、有状态的、仅允许工具；NACL 在子网级别作为更粗粒度的、无状态的次要层）澄清了分层网络安全模型。

由于控制对资源的网络访问是 AWS 安全的基础（配置不当的访问 — 如过度开放的端口或全球可访问的 SSH/数据库 — 会导致真实的漏洞），并且由于安全组是实现此目的的主要机制（通过安全组引用模式支持安全的分层架构），理解安全组是基本的、实际上很重要的 AWS 知识，可用于安全部署资源 — 这是一个核心安全主题，其中正确的配置（适当限制访问，使用分层安全组引用）可以直接防止导致数据泄露的网络级别暴露。