Virtual Private Cloud：安全性群組

建立ECS執行個體時，您可以指定一個或多個安全性群組。如果您建立ECS執行個體時未指定安全性群組，將使用預設安全性群組。在決定ECS執行個體的流量能否通過時，與ECS執行個體關聯的多個安全性群組的規則，將按固定的策略排序，共同生效。

您可以為安全性群組新增規則，修改或刪除已有規則，這些規則變動會自動地作用於安全性群組中的所有ECS執行個體。更多資訊，請參見安全性群組規則。您可以隨時修改ECS執行個體關聯的安全性群組，修改後安全性群組的規則將會自動地作用於ECS執行個體。ECS執行個體關聯的安全性群組，其規則作用於ECS執行個體的主網卡。專用網路ECS執行個體的其他彈性網卡，可以指定與主網卡不同的安全性群組。在Virtual Private Cloud下，安全性群組僅能在所屬的VPC下使用，在建立VPC網路下的ECS執行個體時，您指定的虛擬交換器和安全性群組，必須屬於同一個VPC。

組內互連和授權安全性群組訪問，是安全性群組提供的兩項重要特性。組內互連，是指安全性群組內的ECS執行個體內網互連。授權安全性群組訪問，是指您可以添加授權對象為安全性群組的安全性群組規則，從而允許或拒絕另一個安全性群組中的ECS執行個體，通過內網訪問該安全性群組中的ECS執行個體。安全性群組分為普通安全性群組和企業級安全性群組兩種類型，兩者均免費，適用於不同的使用情境。普通安全性群組支援組內互連功能，支援添加授權安全性群組訪問的規則，但可容納的私網IP數量小於企業級安全性群組。企業級安全性群組可以容納更多的私網IP地址數量，但不支援組內互連功能，也不支援添加授權安全性群組訪問的規則。在ECS執行個體關聯到多個安全性群組時，同一塊網卡只能使用一種類型的安全性群組。建議您根據自己的使用需求來選擇安全性群組類型。更多資訊，請參見普通安全性群組與企業級安全性群組。

在您使用DescribeSecurityGroups介面查詢到安全性群組的ServiceManaged屬性為True，或使用控制台看到安全性群組有類似雲產品託管的安全性群組不支援修改操作的提示時，表示該安全性群組為託管安全性群組。託管安全性群組屬於使用者帳號，但操作許可權屬於雲產品，使用者僅能查看不能操作。更多資訊，請參見託管安全性群組。

在您使用DeleteSecurityGroup介面刪除安全性群組時返回錯誤碼InvalidOperation.DeletionProtection，或使用控制台刪除安全性群組看到類似刪除保護的提示時，說明該安全性群組開啟了刪除保護功能。在您建立ACK叢集時，關聯的安全性群組會開啟刪除保護功能，來防止誤刪除。刪除保護功能無法手動關閉，只有在刪除了關聯的ACK叢集後，才能夠自動關閉。更多資訊，請參見關閉安全性群組刪除保護。

合理使用安全性群組可以有效提高執行個體的安全性，但提高執行個體安全性是一項系統的工作，您還可以結合更多其他做法。更多資訊，請參見Elastic Compute Service安全性。