AWS RDS(Aurora) Terraform自引用安全组入站规则相关疑问

核心作用 #

你提供的Terraform配置定义了一条自引用安全组入站规则：允许所有绑定该安全组的资源，通过TCP 3306端口互相访问。这个逻辑和你看到的EC2场景完全一致——同安全组内的资源自动获得对彼此的访问权限，不管是EC2实例还是RDS实例。

针对你的Aurora集群场景：当这条规则所在的安全组同时绑定到主实例和只读实例时，确实允许集群内的主、只读实例互相访问3306端口。

适用场景 #

• Aurora集群内部同步：Aurora主实例向只读实例复制数据，依赖主从之间的网络连通，自引用规则可以直接满足这个核心需求，无需为每个实例单独配置针对性规则。
• 跨实例运维操作：比如从只读实例拉取数据到主实例做聚合分析，或者主实例故障切换后，新主实例与其他只读实例的通信恢复，自引用规则能自动适配实例角色变化。
• 简化安全规则管理：后续新增只读实例时，只要绑定该安全组，就能自动获得与集群内其他实例的互访权限，不用重复添加入站规则，降低维护成本。

补充说明 #

自引用规则的本质是将安全组本身作为入站规则的源，而非单个IP或CIDR。这种方式的优势在于：无需关注实例的具体私有IP，安全组会自动关联所有绑定它的资源的网络标识，适配实例IP变化（比如重启、故障切换后的IP变更）。

内容的提问来源于stack exchange，提问作者52zxc