Elastic Compute Service：普通安全性群組與企業級安全性群組

單個安全性群組能容納的私網IP地址數量

在您將ECS執行個體、彈性網卡、ECI執行個體等資源關聯到安全性群組時，這些資源將會佔用安全性群組的私網IP地址容量。需要注意的是，單個資源的私網IP數量會有一個或多個。

具體的容量對比如下表所示：

在VPC網路下，相比於普通安全性群組，企業級安全性群組可以容納更多的私網IP地址數量。如果您叢集中的私網IP數量較多，普通安全性群組無法容納，阿里雲建議您使用企業級安全性群組。

支援安全性群組作為授權對象

安全性群組作為授權對象，是指添加一條安全性群組規則，規則的授權對象為一個安全性群組ID。

支援組內互連功能

普通安全性群組的組內互連功能，可以理解為一種授權本安全性群組內ECS執行個體內網訪問的特殊規則。您可以通過修改組內連通策略，來開啟或關閉普通安全性群組的組內互連功能。在企業級安全性群組中，安全性群組內的ECS執行個體預設組內隔離，您不能將企業級安全性群組的內網連通原則設定為組內互連。

預設存取控制規則

普通安全性群組和企業級安全性群組的預設存取控制規則有所不同，普通安全性群組的組內連通策略，會影響其預設存取控制規則。安全性群組的預設存取控制規則是不可見的，與您自訂的安全性群組規則，共同作用如下：

普通安全性群組

由上述對比列表可知，對於普通安全性群組，組內連通策略會影響入方向流量的預設存取控制規則。在組內連通策略被設定為組內互連時，阿里雲會預設允許存取同安全性群組內其他ECS執行個體通過內網訪問的流量。阿里雲建議您遵循最小許可權原則，在不需要普通安全性群組內ECS執行個體間內網互連時，將普通安全性群組的組內連通原則設定為組內隔離。

企業級安全性群組

• 入方向：

  如下表所示，在企業級安全性群組中，如果入方向流量與安全性群組入方向規則匹配，將按照規則指定的授權策略，允許或拒絕允許存取（序號1）。其他任何入方向流量，將會被拒絕訪問（序號2）。

  序號（優先順序順序）	規則類型	流量類型	處理動作
  1	自訂規則	排序後多個安全性群組自訂規則匹配的流量	允許或拒絕（根據授權策略）
  2	預設存取控制規則（不可見）	其他任何流量	拒絕

• 出方向：

  如下表所示，在企業級安全性群組中，如果出方向流量與安全性群組出方向規則匹配，將按照規則指定的授權策略，允許或拒絕允許存取（序號1）。其他任何出方向流量，將會被拒絕訪問（序號2）。

  序號（優先順序順序）	規則類型	流量類型	處理動作
  1	自訂規則	排序後多個安全性群組自訂規則匹配的流量	允許或拒絕（根據授權策略）
  2	預設存取控制規則（不可見）	其他任何流量	拒絕

其他對比