CDK导入现有安全组失败：sg-12345未找到，求排查思路

API 探路者

2026-8-23

CDK导入安全组报错InvalidGroup.NotFound的原因及排查

区域不匹配：安全组是AWS区域级资源，若CDK栈部署的区域和目标安全组所在区域不一致，必然找不到。检查栈的env配置，确保region参数和安全组所在区域完全一致：
```
new YourStack(app, 'YourStack', {
  env: { account: '你的账号ID', region: '安全组所在区域' }
});
```
账号不匹配：当前CDK使用的AWS账号和安全组所属账号不同。确认本地AWS凭证对应的账号是否正确；如果是跨账号导入，需使用安全组的完整ARN作为参数（格式：arn:aws:ec2:区域:账号ID:security-group/sg-xxxx）。
权限不足：当前AWS凭证缺少ec2:DescribeSecurityGroups权限。CDK导入安全组时需要调用EC2的Describe接口，给对应的IAM用户/角色添加该权限：
```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:DescribeSecurityGroups",
      "Resource": "*"
    }
  ]
}
```
VPC上下文错误：若安全组属于特定VPC，使用fromLookupByName时需确保指定的VPC和安全组所属VPC一致；或者在lookup方法中显式指定VPC参数，避免CDK默认使用错误的VPC上下文。
临时服务/网络问题：AWS EC2服务偶尔会有区域级临时故障，或本地网络代理导致请求无法正常到达AWS。可尝试切换网络环境，或等待片刻后重试。