AWS语境下"链接"安全组的具体含义是什么？

你之前对安全组的认知有部分偏差：安全组的入站、出站规则的源（入站规则）、目标（出站规则）字段，除了指定CIDR地址段外，还支持直接指定同一个VPC（或已完成对等连接的其他VPC）下的另一个安全组ID，各类文档里提到的“链接安全组”就是指这个配置操作。

你提到的ElastiCache场景的配置逻辑可以拆解为如下步骤：

• 首先你有一批需要访问ElastiCache集群的EC2实例，这些实例都已经关联了同一个EC2安全组（示例ID：sg-ec2-business）
• 你为ElastiCache集群创建专属的安全组（示例ID：sg-elasticache-cluster）
• 不需要逐个把EC2的IP地址段加入sg-elasticache-cluster的入站规则，只需要在该安全组的入站规则中，配置允许源为sg-ec2-business的请求访问对应缓存端口（比如Redis默认6379、Memcached默认11211），这个操作就是文档中描述的“将EC2安全组链接到ElastiCache安全组”

这种配置方式相比写死CIDR有明显优势：

• 动态生效：后续新增的EC2实例只要关联了sg-ec2-business安全组，自动获得ElastiCache集群的访问权限，不需要修改缓存侧的安全组规则
• 减少维护成本：不需要频繁更新安全组规则适配EC2实例的IP变动、扩缩容场景
• 逻辑更清晰：可以按照业务层级做安全组的关联配置，不需要维护大量零散的IP/CIDR条目

你提到的文档片段原文释义对应如下：

若要允许对集群的网络访问，请创建一个Security Group，并将所需的EC2安全组（其内部指定了允许访问的EC2实例）链接到该安全组。

内容的提问来源于stack exchange，提问作者Matt Curry