云安全组配置规范书.docVIP

云安全组配置规范书

一、安全组基础配置规范

（一）安全组命名规则

安全组命名需清晰反映其应用场景与防护对象，采用“业务类型-环境-功能-标识”的统一格式。例如，“电商-生产-Web服务器-001”明确表示该安全组用于电商业务生产环境下的Web服务器集群，后缀数字用于区分同类型多组配置。禁止使用“默认安全组”“临时测试组”等模糊命名，避免后续管理中出现混淆。

（二）安全组描述要求

每个安全组必须添加详细描述，内容应包含创建时间、适用业务系统、负责人联系方式及核心防护策略。例如：“2025年3月15日创建，适用于用户管理系统生产环境，负责人张三（138xxxx1234），仅允许公司办公IP段访问8080端口”。描述信息需随业务变更及时更新，确保运维人员能快速了解安全组用途与风险等级。

（三）安全组数量控制

单账号下安全组数量需根据业务规模合理规划，避免过度拆分导致管理复杂度上升。建议按业务线、环境类型（生产/测试/开发）或系统模块进行分组，同一业务系统的相关资源尽量纳入同一安全组管理。对于超大规模云环境，可通过标签（Tag）对安全组进行二次分类，实现精细化权限管控。

二、入站规则配置规范

（一）最小权限原则

入站规则需严格遵循“最小权限”原则，仅开放业务必需的端口与IP范围。禁止配置“/0”这样的全局允许规则，除非业务明确要求（如公开网站的80/443端口），且需额外添加流量监控与告警