Grupa zabezpieczeń (Security Group)
Stanowa zapora na poziomie instancji w AWS — reguły wyłącznie zezwalające, dla ruchu przychodzącego i wychodzącego. Przypisana do interfejsów ENI (EC2, RDS, Lambda itd.).
„Stanowa” oznacza, że ruch zwrotny jest dozwolony automatycznie (żądanie wychodzące ⇒ odpowiedź przychodząca przechodzi bez osobnej reguły). Domyślnie blokuje cały ruch przychodzący i zezwala na cały wychodzący. Jako źródło można wskazać inną grupę zabezpieczeń („zezwól na port 5432 z app-tier-sg”), co świetnie nadaje się do mikrosegmentacji. Konkurent w tym samym stosie: NACL (poziom podsieci, bezstanowy, allow/deny). Dobra praktyka: security groups jako główna zapora, NACL jako „ciężki młot” do izolacji podsieci.