安全组最小权限配置原则
安全组是云服务器（ECS/CVM等）的虚拟防火墙，用于控制实例的网络出入流量。最小权限原则要求只开放业务必需的端口和协议，拒绝所有其他流量，从而降低攻击面。实施该配置能有效防范端口扫描、暴力破解和未授权访问。
配置前的准备工作
- 梳理业务清单：明确各实例需要对外提供的服务（如Web-80/443、SSH-22、数据库-3306等）。
- 确定访问源：区分0.0.0.0/0（全网）、指定IP段或安全组ID。
- 评估内部通信：若实例间有调用，建议使用安全组作为源（非IP段）。
最小权限配置步骤
- 清空默认规则：先将安全组内的所有已有入站规则删除，仅保留出站全部允许（便于实例主动外连，可视情况收紧）。
- 添加必需入站规则：按“协议-端口-源”格式逐条添加。例如：
- 允许TCP 22端口，源为管理员公网IP（如203.0.113.0/32）。
- 允许TCP 80/443端口，源为0.0.0.0/0（公网Web服务）。
- 内部数据库仅允许应用服务器安全组ID作为源。
- 拒绝所有其他流量：大多数云平台默认存在一条拒绝所有流量的隐式规则。若平台要求显式添加，则需在规则列表末尾增加一条“拒绝所有协议、端口、源”的规则（优先级最低）。
- 测试连通性：使用telnet、curl或云平台安全组诊断工具验证业务正常，并确认非授权端口不可达。
最佳实践
- 细粒度控制：避免使用0.0.0.0/0开放管理端口（如SSH、RDP），应限制为特定IP或跳板机。
- 安全组嵌套：对多实例场景，将同一功能的实例加入相同安全组，通过安全组ID作为出/入规则源，简化管理。
- 定期审计：定期扫描安全组规则，移除不必要的开放端口，关注过期IP。
- 日志监控：开启安全组日志或云平台流日志，分析异常访问。
遵循最小权限原则配置安全组，可大幅提升云服务器安全性，是IDC与云运维的基础安全要求。实施后结合防火墙、入侵检测等策略，构建纵深防御体系。
