| 分层建组 | web-sg（80/443）、app-sg（内部端口）、db-sg（仅 app-sg）、bastion-sg（22/3389） |
|---|---|
| 组间引用 | db-sg 的源=app-sg；app-sg 的源=web-sg；层层收窄 |
| 命名 | 环境-角色-序号：prod-web-01、prod-db-01 |
| 实例绑定 | 一台实例最多绑定数个组，规则取并集（叠加放宽） |
典型引用链（文本）
典型引用链（文本）
bastion-sg --22--> app-sg --8080--> web-sg
web-sg --8080--> app-sg
app-sg --3306--> db-sg
各层只认上一层安全组，不写 ANY安全组数量与规则数都有配额：先规划结构再建组，避免上线期撞配额。