如何通过CloudFormation更新安全组，避免重建已部署的EC2实例

核心原因 #

EC2实例的SecurityGroups/SecurityGroupIds属性属于可就地更新的属性，默认不会触发实例替换。出现替换提示通常是模板写法存在问题，比如：

• 安全组资源与EC2实例绑定了错误的依赖关系，或修改了安全组的不可变属性（如GroupId）导致安全组自身被重建，进而触发EC2替换
• 同时修改了EC2实例的其他不可变属性（如ImageId、InstanceType）
• 使用了AWS::EC2::Instance的NetworkInterfaces属性并修改其中的安全组配置（该属性不可更新，修改会触发实例替换）

正确修改步骤 #

1. 确认模板的安全组引用方式 #

确保EC2实例通过SecurityGroupIds（推荐）或SecurityGroups属性引用独立的AWS::EC2::SecurityGroup资源，而非内嵌定义安全组。

示例正确模板结构：

Resources:
  MyWebSecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: Web server access rules
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 80
          ToPort: 80
          CidrIp: 0.0.0.0/0

  MyEC2Instance:
    Type: AWS::EC2::Instance
    Properties:
      InstanceType: t2.micro
      ImageId: ami-xxxxxxxxx # 替换为你所在区域的合法AMI ID
      SecurityGroupIds:
        - !Ref MyWebSecurityGroup
      # 其他实例配置属性...

2. 直接修改安全组规则 #

仅更新AWS::EC2::SecurityGroup的SecurityGroupIngress或SecurityGroupEgress属性，CloudFormation会就地更新安全组规则，不会触发EC2实例替换。

比如新增HTTPS访问规则：

MyWebSecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: Web server access rules
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 80
          ToPort: 80
          CidrIp: 0.0.0.0/0
        - IpProtocol: tcp
          FromPort: 443
          ToPort: 443
          CidrIp: 0.0.0.0/0

3. 验证变更集 #

创建变更集时，检查EC2实例的变更类型应为更新（无需替换），安全组的变更类型为更新（无需替换）。若仍显示EC2会被替换，需排查：

• 是否修改了EC2的其他不可变属性
• 安全组资源是否被设置了DeletionPolicy: Replace
• 是否使用了NetworkInterfaces属性并修改了其中的安全组配置

4. 修复错误模板的方法 #

如果之前的模板把安全组内嵌在EC2实例中，或使用了NetworkInterfaces定义安全组，可按以下步骤修复：

• 将安全组抽离为独立的AWS::EC2::SecurityGroup资源
• 修改EC2实例使用SecurityGroupIds引用该安全组
• 执行更新操作，此时CloudFormation会就地替换EC2的安全组属性，不会重建实例

关键注意事项 #

• 不要修改安全组的GroupId属性（该属性创建后不可变，修改会导致安全组重建）
• 避免在NetworkInterfaces中定义安全组，该属性不可更新，修改会触发实例替换
• 优先使用SecurityGroupIds而非SecurityGroups（后者依赖安全组名称，易出现跨环境或重名问题）

内容的提问来源于stack exchange，提问作者Mahesh