両方が連携して、階層型のネットワーク防御を構築できます。関連するサブネットのファイアウォールとして機能し、サブネットレベルでの受信トラフィックとアウトバウンドの両方を制御セキュリティグループサブネットレベルではなく、インスタンスレベルで動作します。サブネット内の各インスタンスには、異なるセキュリティグループのセットを割り当てることができます。インスタンスには、50ルールを持つ各セキュリティグループに5つのセキュリティグループを割り当てることができます。追加または削除できます。既定のセキュリティグループは外部の受信トラフィックを許可せず、同じセキュリティグループを持つインスタンスからの受信トラフィックを許可します。既定のセキュリティグループは、すべての送信トラフィックを許可します。新しいセキュリティグループは、すべてのトラフィックがインスタンスを残すことを許可する送信規則のみで開始されます。セキュリティグループは、ルールを許可するだけで、ルールは拒否することはできません。ピア接続が必要)セキュリティグループは、最も寛容なルールが優先されるルールの全体または累積束として評価します。ポート22にアクセスできます。受信トラフィックを許可する応答は、送信ルールに関係なく送信をフローすることができ、その逆もあります。したがって、応答の送信ルールは必要ありません。関連付けられています。関連付けられたセキュリティグループを変更し、その変更をセキュリティグループに関連付けられているすべてのインスタンスに直ちに適用できます。接続のトラッキングセキュリティグループはステートフルであり、接続トラッキングを使用して、インスタンスとの間のトラフィックに関する情報を追跡します。受信トラフィックへの応答は、送信セキュリティグループの規則に関係なく、インスタンスからのフローを許可され、その逆も可能です。(その逆も同様です)。受信要求に対して明示的な送信ルールがある場合、送信ルールに基づいて応答トラフィックが許可され、追跡情報には対応しません。アドレスとプロトコル番号のみを追跡します。元の要求または応答の600秒以内に別の要求でインスタンスへのトラフィックを開始した場合、インスタンスは応答トラフィックと見なされるため、受信セキュリティグループの規則に関係なくそれを受け入れます。これは、特定の種類の送信トラフィックのみを許可するようにセキュリティグループの送信規則を変更することによって制御できます。ステートレスであるため、応答トラフィックを自動的に許可しません。オプションのセキュリティレイヤです。細分化されたコントロールではなく、サブネットレベルで割り当てられ、そのサブネット内のすべてのインスタンスに適用されます。個別の受信および送信ルールがあり、各ルールはトラフィックを許可または拒否することができます。使用すると、すべての受信トラフィックと送信アクセスを許可します。すべてのインバウンドおよびアウトバウンドトラフィックを拒否します。順序で評価されるルールの番号付きリストです。関連付けられているサブネットの中でトラフィックが許可されるかどうかを判断する。すべての拒否と110を許可するルール番号100を持っている場合、すべての許可が優先され、すべてのトラフィックが許可される。