为经典负载均衡器配置安全组

通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在导航窗格上的 Load Balancing（负载均衡）下，选择 Load Balancers（负载均衡器）。

选择您的负载均衡器。

在 Description 选项卡上，选择 Edit security groups。

在 Edit security groups 页面上，根据需要选中或清除安全组。

完成后，选择 Save。

通过以下网址打开 Amazon EC2 控制台：https://console.aws.amazon.com/ec2/。

在导航窗格上的 Load Balancing（负载均衡）下，选择 Load Balancers（负载均衡器）。

选择您的负载均衡器。

在 Description 选项卡上，复制源安全组的名称。

在 Instances 选项卡上，选择已向负载均衡器注册的某个实例的实例 ID。

在 Description 选项卡上，对于 Security groups，选择安全组的名称。

在 Inbound 选项卡上，依次选择 Edit 和 Add Rule。

从 Type 列中，选择协议类型。将填充 Protocol 和 Port Range 列。在 Source 列中，选择 Custom IP，然后粘贴您之前复制的源安全组的名称 (例如，amazon-elb/amazon-elb-sg)。

(可选) 如果安全组中的规则的限制性高于您添加的规则的限制性，请使用其删除图标来删除限制性较低的规则。

使用以下 describe-load-balancers 命令显示负载均衡器的源安全组的名称和所有者：

aws elb describe-load-balancers --load-balancer-name my-loadbalancer

响应将名称和所有者包含在 SourceSecurityGroup 字段中。例如：

{
    "LoadBalancerDescriptions": [
        {
            ...
            "SourceSecurityGroup": {
                "OwnerAlias": "amazon-elb", 
                "GroupName": "amazon-elb-sg"
            }
        }
    ]
}

向您实例的安全组添加规则，如下所示：

1. 如果您不知道实例的安全组的名称，请使用以下 describe-instances 命令获取指定实例的安全组的名称和 ID：

   aws ec2 describe-instances --instance-ids i-315b7e51

   响应将安全组的名称和 ID 包含在 SecurityGroups 字段中。记下安全组的名称；在下一步中，您将使用该名称。

2. 使用以下 authorize-security-group-ingress 命令向您实例的安全组添加规则以允许来自负载均衡器的流量：

   aws ec2 authorize-security-group-ingress --group-name my-security-group --source-security-group-name amazon-elb-sg  --source-security-group-owner-id amazon-elb

（可选）使用以下 describe-security-groups 命令来验证安全组是否具有新规则：

aws ec2 describe-security-groups --group-names my-security-group

响应包含一个 UserIdGroupPairs 数据结构，其中列出已获得实例访问权限的安全组。

{
    "SecurityGroups": [
        {
            ...
            "IpPermissions": [
                {
                    "IpRanges": [],
                    "FromPort": -1,
                    "IpProtocol": "icmp",
                    "ToPort": -1,
                    "UserIdGroupPairs": [
                        {
                            "GroupName": "amazon-elb-sg",
                            "GroupId": "sg-5a9c116a",
                            "UserId": "amazon-elb"
                        }
                    ]
                },
                {
                    "IpRanges": [],
                    "FromPort": 1,
                    "IpProtocol": "tcp",
                    "ToPort": 65535,
                    "UserIdGroupPairs": [
                        {
                            "GroupName": "amazon-elb-sg",
                            "GroupId": "sg-5a9c116a",
                            "UserId": "amazon-elb"
                        }
                    ]
                },
                {
                    "IpRanges": [],
                    "FromPort": 1,
                    "IpProtocol": "udp",
                    "ToPort": 65535,
                    "UserIdGroupPairs": [
                        {
                            "GroupName": "amazon-elb-sg",
                            "GroupId": "sg-5a9c116a",
                            "UserId": "amazon-elb"
                        }
                    ]
                },
                . . .  
}

（可选）如果安全组中的规则不及您添加的规则严格，则使用 revoke-security-group-ingress 命令删除限制性较低的规则。例如，以下命令删除允许来自所有人的 TCP 流量 (CIDR 范围 0.0.0.0/0) 的规则：

aws ec2 revoke-security-group-ingress --group-name my-security-group --protocol tcp --port 80 --cidr 0.0.0.0/0