如何查看AWS安全组变更历史并回退近期手动配置变更

完全可以通过AWS原生能力实现安全组历史变更查询和配置回退，不需要提前部署第三方工具，具体操作路径如下：

查看安全组历史变更记录 #

• 核心依托CloudTrail实现操作审计：AWS默认会记录近90天内所有EC2相关的管理操作，不需要手动开启就能查。你直接进入CloudTrail的事件历史页面，筛选事件源为ec2.amazonaws.com，再把事件名称限定为安全组规则变更相关的几个操作：AuthorizeSecurityGroupIngress（添加入站规则）、AuthorizeSecurityGroupEgress（添加出站规则）、RevokeSecurityGroupIngress（删除入站规则）、RevokeSecurityGroupEgress（删除出站规则）、ModifySecurityGroupRules（修改现有规则），就能查到每一次变更的操作人、操作时间、源IP，以及变更前后的完整规则参数。如果之前配置过CloudTrail追踪器把日志存到S3，还能查询超过90天的永久历史记录。
• 如果开通了AWS Config，查询会更方便：直接在Config资源列表找到对应安全组，打开资源时间线就能看到每一次配置变更的快照，自动对比前后版本的规则差异，不用自己逐行翻CloudTrail事件日志。
• 注意：如果既没有配置CloudTrail持久化日志、也没开AWS Config，超过90天的变更记录没有留存，是无法追溯的。

回退近期安全组配置变更 #

• 少量规则变更直接手动回退：如果只是最近1-2次规则调整错了，直接从查到的历史记录里复制变更前的规则参数，回到EC2控制台的安全组管理页，把现有错误规则改回原有配置即可，操作前记得核对端口、协议、源/目的地址段，不要漏改出站规则。
• 多规则、批量变更建议用AWS CLI操作，避免手动改错：第一步先备份当前安全组配置，防止回退失误导致业务故障，执行命令：
  aws ec2 describe-security-group-rules --filter Name="group-id",Values="你的安全组ID" > current-sg-backup.json
  备份完成后，把你从历史记录中导出的目标版本规则整理成符合API要求的格式，用aws ec2 modify-security-group-rules命令批量覆写现有规则即可，操作时注意区分入站和出站规则，不要误删默认的出站全通规则。
• 所有回退操作前必须先备份当前安全组配置，一旦回退失误可以快速恢复。如果回退操作涉及生产业务关联的安全组，建议先在测试环境验证规则的访问控制逻辑符合预期，再在生产环境执行，避免引发业务断流。

内容的提问来源于stack exchange，提问作者Lucas Andrade