云平台安全组规则规范书.docVIP

云平台安全组规则规范书

一、安全组基础配置规范

（一）安全组命名与描述

安全组命名需遵循“业务类型-环境-功能-编号”的统一格式，例如“电商交易-生产环境-Web服务-001”，确保通过名称即可快速识别安全组的应用场景与保护对象。描述信息需详细记录安全组的防护范围、开放端口、关联资源等关键内容，如“保护电商生产环境中Web服务器，开放80、443端口供公网访问，关联ECS实例ID：ecs-xxxxxx、ecs-yyyyyy”，便于后续运维与审计工作开展。

（二）安全组默认规则设置

所有安全组默认需拒绝所有入站流量，仅允许必要的出站流量。出站流量默认可允许访问公网DNS服务器（如、14）以保障域名解析需求，其他出站访问需根据业务需求逐一添加规则。禁止设置“允许所有/0”的入站规则，确需公网访问的服务，需限定具体的源IP地址段或仅允许通过负载均衡等中间件转发流量。

（三）安全组关联资源管理

单个安全组关联的云资源数量需控制在合理范围内，建议不超过50台ECS实例或20台数据库实例，避免因关联资源过多导致规则变更影响范围过大。关联资源时需进行严格的权限校验，仅允许资源所属项目的负责人或授权运维人员进行操作，操作记录需同步至云平台审计日志系统。

二、入站规则配置规范

（一）端口开放原则

遵循“最小权限”原则，仅开放业务必需的端口。例如，Web服务仅开放80（HTTP）、443（HTTPS）