为何配置目标实例访问规则时选ALB安全组而非直接IP？

首先明确核心原因：AWS ALB的IP地址是动态变化的，这是关键。

• ALB的IP不固定：AWS的应用负载均衡会根据流量负载自动调整节点数量，或是在后台维护时更换IP。你当前配置的ALB IP可能过几天就失效，导致目标实例的安全组规则无法匹配新的ALB节点，直接阻断流量。
• 安全组是动态信任关系：把ALB加入特定安全组，再让目标实例的安全组允许该安全组的入站请求，本质是建立了两个安全组之间的信任规则。不管ALB的IP怎么变，只要它还在这个安全组里，就能正常访问目标实例，完全不用手动更新规则，这也是AWS官方推荐的配置方式。
• 和VPC的关联：没错，这和目标实例在VPC内直接相关。VPC里的网络资源（包括ALB和EC2实例）都是通过安全组做细粒度访问控制的，安全组是VPC原生的网络安全机制，比固定IP更适配VPC的动态网络环境，能避免IP变动带来的运维麻烦。

直接设置ALB IP的做法只适用于IP绝对固定的场景，但ALB显然不属于这种情况，所以正确答案才会要求用安全组来配置。

内容的提问来源于stack exchange，提问作者Lucas Vital