本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 管理 EC2 安全群組
<a name="using-features.managing.ec2.instances.sg"></a>

當 Elastic Beanstalk 建立環境時，它會將預設安全群組指派給與其一起啟動的 EC2 執行個體。連接到執行個體的安全群組會決定允許到達和結束執行個體的流量。

Elastic Beanstalk 建立的預設 EC2 安全群組允許 HTTP (80) 和 SSH(22) 標準連接埠上來自網際網路或負載平衡器的所有傳入流量。您也可以定義自己的自訂安全群組，為 EC2 執行個體指定防火牆規則。安全群組可以允許來自其他連接埠或其他來源的流量。例如，您可建立 SSH 存取的安全群組，允許連接埠 22 接收受限 IP 地址範圍所傳入的流量；或者，為了提高安全性，您可以建立一個允許來自只有您才能存取之堡壘主機的流量。

您可以透過將[aws:autoscaling:launchconfiguration](command-options-general.md#command-options-general-autoscalinglaunchconfiguration)命名空間中的 `DisableDefaultEC2SecurityGroup`選項設定為 ，選擇從預設 EC2 安全群組中退出您的環境`true`。使用 [AWS CLI](using-features.managing.ec2.aws-cli.md)或 組態檔案將此選項套用至您的環境，並將自訂安全群組連接至 EC2 執行個體。

## 在多執行個體環境中管理 EC2 安全群組
<a name="using-features.managing.ec2.instances.sg.load-balancer-security"></a>

如果您在多執行個體環境中建立自訂 EC2 安全群組，您還必須考慮負載平衡器和傳入流量規則如何保持執行個體的安全和存取。

具有多個 EC2 執行個體的環境傳入流量是由[負載平衡器](using-features.managing.elb.md)管理，該負載平衡器會將傳入流量導向所有 EC2 執行個體。當 Elastic Beanstalk 建立預設 EC2 安全群組時，也會定義允許從負載平衡器傳入流量的傳入規則。如果安全群組中沒有此傳入規則，傳入流量將無法進入執行個體。此條件基本上會封鎖執行個體的外部請求。

如果您停用負載平衡環境的預設 EC2 安全群組，Elastic Beanstalk 會驗證一些組態規則。如果組態不符合驗證檢查，它會發出訊息，指示您提供所需的組態。驗證檢查如下：
+ 必須分別使用 [aws:elbv2:loadbalancer](command-options-general.md#command-options-general-elbv2)或 `SecurityGroups`的選項，將至少一個安全群組指派給負載平衡器[aws:elb:loadbalancer](command-options-general.md#command-options-general-elbloadbalancer)，取決於其是應用程式負載平衡器或傳統負載平衡器。如需 AWS CLI 範例，請參閱 [使用 設定 AWS CLI](using-features.managing.ec2.aws-cli.md)。
+ 必須存在允許 EC2 執行個體從負載平衡器接收流量的傳入流量規則。您的 EC2 安全群組和負載平衡器安全群組都必須參考這些傳入規則。如需詳細資訊，請參閱下面的[流量的傳入規則](#using-features.managing.ec2.instances.sg.load-balancer-security.rules)章節。

### 流量的傳入規則
<a name="using-features.managing.ec2.instances.sg.load-balancer-security.rules"></a>

多執行個體環境的 EC2 安全群組 (EC2) 必須包含參考負載平衡器安全群組的傳入規則。這適用於具有任何類型的負載平衡器、專用或共用的環境，以及具有自訂或預設負載平衡器安全群組的環境。

您可以在 EC2 主控台中檢視連接至環境元件的所有安全群組。下圖顯示 Elastic Beanstalk 在建立環境操作期間預設建立的安全群組 EC2 主控台清單。

**安全群組**畫面會顯示環境及其相關聯的安全群組。*GettingStarted-env* 和 *GettingStarted3-env* 都是具有專用負載平衡器的多執行個體環境。這些環境都有兩個列出的安全群組，一個用於 EC2 執行個體，另一個用於負載平衡器。Elastic Beanstalk 會在建立環境時建立這些安全群組。*GettingStarted5-env* 沒有負載平衡器安全群組，因為它只有一個 EC2 執行個體，因此沒有負載平衡器。

**傳入規則**畫面深入探討 *GettingStarted3-env* 執行個體的 EC2 安全群組。此範例定義 EC2 安全群組的傳入規則。請注意，*傳入規則*中的*來源*欄會列出上一個映像中列出的負載平衡器安全群組的安全群組 ID。此規則允許 *GettingStarted3-env* 的 EC2 執行個體接收連接埠 80 上該特定負載平衡器的傳入流量。

![\[Amazon EC2 主控台會顯示每個環境的 Elastic Beanstalk 安全群組。\]](http://docs.aws.amazon.com/zh_tw/elasticbeanstalk/latest/dg/images/aeb-env-config-ec2-ec2console-sg-to-rule.png)






如需詳細資訊，請參閱《*Amazon EC2 使用者指南*》中的[變更執行個體的安全群組](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/changing-security-group.html)和 [ Elastic Load Balancing 規則](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/security-group-rules-reference.html#sg-rules-elb)。