安全组与密钥对

安全组是一种有状态的虚拟防火墙，用于控制进出 EC2 实例（或 RDS、Lambda、ELB 等其他 AWS 资源）的入站和出站流量。安全组在实例级别运行，每条规则都指定协议（TCP/UDP/ICMP）、端口范围和来源/目标（IP 范围或其他安全组）。与传统防火墙不同，安全组是有状态的：如果您允许入站流量，其响应流量会自动获准出站，无需显式规则。

安全组具有独立的入站和出站规则集。入站规则控制到达实例的流量，默认情况下，所有入站流量都会被拒绝。出站规则控制离开实例的流量，默认情况下，允许所有出站流量。您可添加显式 Allow 规则；安全组中没有显式 Deny 规则（需要显式拒绝时，请使用网络 ACL）。安全组中的所有规则会使用逻辑 OR 一起评估，任何匹配的 Allow 规则都会允许该流量。

安全组支持来源/目标安全组引用，这比指定 IP 范围更灵活、更安全。例如，ALB 安全组允许端口 443 上来自 0.0.0.0/0 的流量。EC2 实例的安全组仅允许来自ALB 安全组 ID的入站端口 8080 流量，而不允许来自任意 IP 的流量。即使 ALB 被替换或扩展，规则仍会正确生效，无需更改 IP。这种模式可为多层架构构建分层、动态的防御机制。

有状态意味着安全组会跟踪连接状态。如果您的入站规则允许来自互联网的 TCP 端口 80 流量，且客户端发出请求，则响应数据包（出站）会自动获准返回给客户端，即使没有针对端口 80 的出站规则也是如此。这与网络 ACL有根本区别，网络 ACL 是无状态的，需要为两个方向的流量都设置显式规则。有状态特性使安全组更易于针对典型应用程序流量模式进行配置。

您可以为单个 EC2 实例附加多个安全组（默认最多 5 个，可调整）。所有已附加安全组中的规则会取并集（OR 逻辑），只要任意安全组允许某个请求，该请求就会被允许。这意味着安全组只能添加权限，绝不能限制权限。若要收紧访问权限，必须删除或修改规则，而不是添加限制更严格的安全组。对于有关访问限制的考试题，请牢记这种累加行为。

每个 VPC 都包含一个默认安全组。其默认规则为：入站允许来自同样位于默认安全组中的其他实例的所有流量；出站允许前往任何位置的所有流量。这样设计是为了允许新实例默认进行通信。对于生产环境，应创建具有严格入站规则集的自定义安全组，并移除实例与默认安全组的关联，以避免意外暴露。

EC2 密钥对使用非对称加密进行 SSH 身份验证。AWS 会生成密钥对（或者您导入自己的公钥）：AWS 存储公钥，并在启动时将其注入实例；您下载并保存私钥（.pem 文件），AWS 永远不会存储它。SSH 使用私钥向服务器证明您的身份，而无需传输密码。私钥必须具有严格的权限（chmod 400），否则 SSH 将拒绝使用它。

如果您丢失了 Linux EC2 实例的私钥，就无法按常规方式通过 SSH 登录。恢复选项包括：Systems Manager Session Manager（如果 SSM 代理正在运行且已附加 IAM 角色，无需密钥）、EC2 Instance Connect（通过浏览器或 CLI 注入临时密钥，需要开放 SSH 端口和 EIC 权限），或者停止实例，分离根 EBS 卷，将其附加到另一实例，修改 authorized_keys 文件，再重新附加并重启。对于 Windows，请使用 Systems Manager 检索密码。

将 SSH（端口 22）对 0.0.0.0/0 开放，会使您的实例暴露于互联网上任何位置发起的暴力破解和凭据填充攻击。最佳实践：将 SSH 限制为您的特定企业 IP 范围，或在公有子网中使用堡垒主机（跳板机），并为其配置严格控制的安全组，然后从堡垒主机通过 SSH 访问私有实例。更好的做法是使用Systems Manager Session Manager，完全消除 SSH 端口暴露，无需任何入站规则。

安全组的主要默认限制（可通过服务配额调整）包括：每个 VPC 最多2,500 个安全组、每个安全组最多60 条入站规则和 60 条出站规则，以及每个网络接口 5 个安全组。将另一个安全组作为来源引用时，每个被引用安全组与规则的组合都会计为一条规则。如果达到规则限制，请通过引用安全组 ID 而非单个 IP 范围来整合规则，或使用前缀列表将多个 CIDR 组合为一个易于管理的实体。

托管前缀列表是一组 CIDR 块，您可以在安全组规则或路由表中引用它。AWS 为 S3 和 CloudFront 等服务维护AWS 托管前缀列表，因此您无需自行维护会随时间变化的 IP 范围，便可允许往返这些服务的流量。您还可以创建客户托管前缀列表来组合企业 IP 范围，在一处更新前缀列表后，所有引用它的安全组都会自动继承该变更。

检验您对本课 AWS Solutions Architect (SAA-C03) 概念的理解。

在本课中，您学习了：安全组是有状态的虚拟防火墙，默认拒绝流量，仅允许符合规则的流量、通过 ID 链式引用安全组比使用 IP 范围更安全、更灵活，以及密钥对提供非对称 SSH 身份验证，而 Systems Manager Session Manager 无需开放 SSH 端口。接下来我们将介绍 EC2 存储选项：Instance Store 与 EBS。