国际阿里云：云服务器ECS安全组实践！

简介： 应用上云除了对资源生命周期管理和应用交付是一个转变，更重要是思维方式的转变。本篇文章就简单介绍下上云的一个重要概念安全组(Security Group)。本文是安全组系列的第一篇，主要介绍安全组的基本概念、约束和如何配置入网规则。

应用上云除了对资源生命周期管理和应用交付是一个转变，更重要是思维方式的转变。本篇文章就简单介绍下上云的一个重要概念安全组(Security Group)。本文是安全组系列的第一篇，主要介绍安全组的基本概念、约束和如何配置入网规则。

安全组的基本概念和约束

安全组在云端提供类似虚拟防火墙功能，用于设置单个或多个 ECS 实例的网络访问控制，它是重要的安全隔离手段。在创建 ECS 实例时，必须选择一个安全组。您还可以添加安全组规则，对该安全组下的所有 ECS 实例的出方向和入方向进行网络控制。

安全组有下面的限制：

• 每个账户最多可以建立50个安全组，每个安全组最多100个安全组规则
• 一个实例最多可以加入5个同种网络类型的安全组
• 同一个安全组之内的资源默认是网络通的，不同安全组之间的资源默认是网络不通
• 安全组应该是白名单的性质的，所以需要尽量开通最小的权限，默认拒绝所有的访问
• 单个安全组最大支持1000个实例

当您创建一个安全组的时候，默认规则均为出方向 accept all，入方向 deny all。安全组的出入规则，很多客户在使用的时候并没有按照自己的应用规范划分。使得自己的应用加大了收到攻击的风险。

除了可以限制IP和CIDR网段之外，安全组的出入规则可以直接引用另外一个安全组，这样就避免了有些时候CIDR或者IP的不灵活，直接对另外一个安全组中的资源授权。通过这样间接的可以通过安全组对应用进