Security Group Security Group — firewall virtual por recurso na VPC
Security Groups (SG) funcionam como firewall stateful na VPC: cada recurso (ALB, task ECS , RDS, etc.) recebe um ou mais grupos que definem quem pode enviar tráfego para o recurso (inbound) e para onde o recurso pode enviar (outbound).
Direção Comportamento Inbound permitido Respostas de saída para a mesma conexão são automaticamente permitidas Outbound Por padrão em muitos SGs: All traffic → 0.0.0.0/0 (saída liberada)
Exemplo: se o ALB pode abrir TCP 8080 na task, a resposta HTTP da task de volta ao ALB não exige regra inbound no SG do ALB vindo da task.
Recurso SG Inbound típico ALB sg-alb443 de 0.0.0.0/0 (ou CloudFront prefix list) ECS task sg-app8080 somente de sg-alb (referência por SG ID) Banco sg-db5432/1433 somente de sg-app
Prefira referenciar security group ID em vez de IP fixo entre ALB e app: quando novas tasks sobem com IPs novos, as regras continuam válidas.
Tipo Avaliado quando Exemplo CRM Inbound Pacote chega na ENI do recurso ALB → porta da API Outbound Pacote sai da ENI Task → HTTPS internet (APIs externas), S3 via VPC endpoint
Restringir outbound da task (só endpoints necessários) aumenta segurança mas exige manutenção quando novas integrações aparecem.
Campo Valores comuns Type HTTP, HTTPS, Custom TCP Port 443, 8080, 5432 Source (inbound) sg-xxx, CIDR 10.0.0.0/8, prefix listDestination (outbound) 0.0.0.0/0, SG de destino, prefix list S3
Sintoma Causa provável no SG Timeout do health check Porta do app não liberada do SG do ALB para o SG da task API ok pelo curl dentro da task, falha pelo ALB Inbound na task errado ou app escutando só em 127.0.0.1 Task não acessa banco SG do RDS não permite SG da app na porta do engine Task não acessa internet Subnet privada sem NAT e outbound bloqueado
Security Group Network ACL Nível ENI do recurso Subnet State Stateful Stateless Padrão Deny implícito inbound; explícito allow Regras numeradas allow/deny Uso no CRM Principal controle dia a dia Camada extra rara
Um SG por papel (sg-alb, sg-api, sg-worker) — não um SG gigante para tudo.Menor privilégio nas portas: só as necessárias.Documentar no runbook qual SG cada service ECS usa.Alteração de SG é imediata ; não precisa reiniciar task, mas conexões existentes podem precisar ser reabertas.
Serviço Relação ALB Possui SG próprio; origem permitida nas tasks ECS networkConfiguration.securityGroups no serviceTG Não define SG; apenas registra IPs que já passam no firewall