如何通过AWS CLI为EC2实例追加安全组而非覆盖原有组？

直接可用的AWS CLI命令 #

AWS CLI提供了aws ec2 attach-security-group命令，专门用于为EC2实例追加安全组，不会覆盖原有已关联的安全组：

aws ec2 attach-security-group --instance-id <实例ID> --group-id <新安全组ID>

注意：该命令需要传入安全组ID而非名称，若只有安全组名称，可通过以下命令转换为ID：

aws ec2 describe-security-groups --group-names <组名> --query 'SecurityGroups[0].GroupId' --output text

修正后的完整脚本 #

针对你现有脚本的变量错误、逻辑冗余和覆盖安全组问题，修正后的脚本如下：

#!/usr/bin/bash

# 修正变量定义（移除多余空格，添加引号避免空格问题）
sgexisting="$1"
sgnew="$2"

# 提取符合条件的运行中实例ID
get_target_instances() {
  aws ec2 describe-instances \
    --query "Reservations[*].Instances[*].InstanceId" \
    --filters "Name=instance-state-name,Values=running" \
              "Name=instance-type,Values=t2.medium,t2.micro" \
              "Name=instance.group-name,Values=$sgexisting" \
    --output text
}

# 获取目标实例列表
instance_ids=$(get_target_instances)

# 遍历实例追加安全组
for instance_id in $instance_ids; do
  echo "正在为实例 $instance_id 追加安全组..."
  aws ec2 attach-security-group --instance-id "$instance_id" --group-id "$sgnew"
  
  # 验证安全组关联结果
  echo "实例 $instance_id 当前关联的安全组："
  aws ec2 describe-instance-attribute --instance-id "$instance_id" --attribute groupSet --output table
done

脚本优化说明 #

• 修复原脚本中变量定义的空格错误（如sgexisting =$1改为sgexisting="$1"）
• 简化实例ID提取逻辑，直接通过describe-instances的query参数输出ID，无需生成中间JSON文件
• 替换modify-instance-attribute为attach-security-group，彻底避免覆盖原有安全组
• 增加操作日志和结果验证，方便确认执行状态

权限注意事项 #

执行脚本的IAM用户需具备以下权限：ec2:DescribeInstances、ec2:AttachSecurityGroup、ec2:DescribeInstanceAttribute

内容的提问来源于stack exchange，提问作者h.pylori