セキュリティグループ
AWSのインスタンス単位のステートフルなファイアウォール。インバウンド/アウトバウンドの通信を許可ルールのみで定義し、ENI（EC2、RDS、Lambdaなど）に関連付ける。
「ステートフル」とは、戻りの通信が自動的に許可されること（外向きのリクエストに対する応答は、明示的なルールなしで入れる）。既定ではインバウンドはすべて拒否、アウトバウンドはすべて許可である。他のセキュリティグループを送信元に指定でき（「app-tier-sg からのポート5432を許可」）、マイクロセグメンテーションに強力だ。同じ層の対抗はNACL（サブネット単位、ステートレス、許可と拒否の両方）である。ベストプラクティスは、セキュリティグループを主たるファイアウォールとし、NACLはサブネット分離の「大ハンマー」として使うことだ。