分层引用示例
分层引用示例
数据库安全组 sg-db 入方向规则：
协议 TCP 端口 3306 授权对象 sg-app
效果：sg-app 组内新增实例后自动获得数据库访问权限
无需修改 sg-db 的任何规则| 用法 | 授权对象填写安全组 ID，而不是 IP 段 |
|---|---|
| 适用范围 | 同账号同地域内（跨账号能力以厂商文档为准） |
| 收益 | 成员变化自动生效，减少漏配与遗留放行 |
引用关系形成依赖链：调整安全组归属或删除安全组前，先确认引用方。
安全组互相引用实现分层互访
授权对象可以直接填另一个安全组 ID，表示「允许来自该安全组内所有实例的流量」。应用层扩缩容或更换 IP 都无需调整数据库侧规则，是分层架构里比写 IP 更稳的做法。
易错点
- 被引用的安全组删除会导致相关规则失效，删除前先解除引用关系
- 跨地域或跨账号场景可能不支持引用，需退化为 CIDR 授权并定期复核
数据来源与参考
- 阿里云 安全组文档（引用安全组）