如何使用AWS Boto3为批量EC2实例添加安全组且保留现有组

要实现仅添加新安全组、保留原有组的需求，核心逻辑是先获取实例当前关联的安全组，合并新组后再执行更新，具体步骤和代码如下：

实现步骤 #

• 1. 调用describe_instances接口，提取目标EC2实例已有的安全组ID列表
• 2. 合并现有安全组ID与新增安全组ID（自动去重，避免重复关联）
• 3. 调用modify_instance_attribute接口，用合并后的列表更新实例安全组配置

完整代码示例 #

import boto3

# 初始化EC2客户端（假设已完成身份认证）
session = boto3.Session(region_name='your-region')  # 替换为你的AWS区域
ec2 = session.client('ec2')

# 待处理的批量实例ID列表
target_instances = ['instance-id-1', 'instance-id-2', 'instance-id-3']
# 需要新增的安全组ID列表
new_security_groups = ['sg-new-001', 'sg-new-002']

for instance_id in target_instances:
    try:
        # 获取实例现有安全组ID
        desc_response = ec2.describe_instances(InstanceIds=[instance_id])
        existing_sg_ids = [sg['GroupId'] for sg in desc_response['Reservations'][0]['Instances'][0]['SecurityGroups']]
        
        # 合并并去重：现有组 + 新增组
        combined_sg_ids = list(set(existing_sg_ids + new_security_groups))
        
        # 更新实例安全组
        ec2.modify_instance_attribute(
            InstanceId=instance_id,
            Groups=combined_sg_ids
        )
        print(f"实例 {instance_id} 安全组更新完成，当前关联组：{combined_sg_ids}")
    except Exception as e:
        print(f"处理实例 {instance_id} 失败：{str(e)}")

注意事项 #

• 确保IAM权限包含ec2:DescribeInstances和ec2:ModifyInstanceAttribute操作
• 若实例属于经典网络，需将Groups参数替换为SecurityGroups（对应安全组名称而非ID）
• 用集合去重是为了避免重复添加同一安全组，防止接口报错

内容的提问来源于stack exchange，提问作者ram