问题根源 #

你碰到的这个坑是AWS API的设计特性：当使用GroupNames参数查询安全组时，API会强制在默认VPC（或EC2-Classic环境）里查找——哪怕你同时指定了vpc-id过滤器也没用。这就是为啥你明明指定了vpc-67890，报错却还是说在默认VPCvpc-12345里找不到目标组。

非默认VPC里的安全组，必须通过GroupIds参数查询，或者用group-name过滤器配合vpc-id过滤器精准定位，绝对不能用GroupNames参数。

解决方案 #

1. 修正boto3 Client代码：用过滤器替代GroupNames

放弃GroupNames参数，改用Filters同时指定安全组名称和VPC ID，就能在目标VPC里找到对应的安全组：

import boto3

client = boto3.client('ec2')
response = client.describe_security_groups(
    Filters=[
        {
            'Name': 'vpc-id',
            'Values': ['vpc-67890']
        },
        {
            'Name': 'group-name',
            'Values': ['SG_NAME']
        }
    ]
)

# 提取并打印安全组规则
if response['SecurityGroups']:
    sg = response['SecurityGroups'][0]
    print("入站规则:")
    for rule in sg['IpPermissions']:
        print(rule)
    print("\n出站规则:")
    for rule in sg['IpPermissionsEgress']:
        print(rule)
else:
    print("未找到指定的安全组")

2. 修正boto3 Resource代码

同样的逻辑，用过滤器替代GroupNames参数：

import boto3

ec2 = boto3.resource('ec2')
vpc = ec2.Vpc('vpc-67890')

# 通过组名过滤查询目标安全组
specific_security_group = vpc.security_groups.filter(
    Filters=[{'Name': 'group-name', 'Values': ['SG_NAME']}]
)

for sg in specific_security_group:
    print(f"安全组ID: {sg.id}")
    print("入站规则:")
    for rule in sg.ip_permissions:
        print(rule)
    print("\n出站规则:")
    for rule in sg.ip_permissions_egress:
        print(rule)

3. AWS CLI命令示例

用CLI的话，也要避免用--group-names参数，改用过滤器：

aws ec2 describe-security-groups \
    --filters "Name=vpc-id,Values=vpc-67890" "Name=group-name,Values=SG_NAME"

结合ELB查询的完整流程 #

既然你是从ELB获取的安全组名称，这里可以把两个步骤整合：先查ELB关联的安全组名称，再根据名称在指定VPC里查询规则：

import boto3

# 第一步：查询ELB关联的安全组名称
elb_client = boto3.client('elb')
elb_response = elb_client.describe_load_balancers(LoadBalancerNames=['YOUR_ELB_NAME'])
sg_names = [sg['GroupName'] for sg in elb_response['LoadBalancerDescriptions'][0]['SecurityGroups']]

# 第二步：在指定VPC中批量查询这些安全组的规则
ec2_client = boto3.client('ec2')
for sg_name in sg_names:
    sg_response = ec2_client.describe_security_groups(
        Filters=[
            {'Name': 'vpc-id', 'Values': ['vpc-67890']},
            {'Name': 'group-name', 'Values': [sg_name]}
        ]
    )
    if sg_response['SecurityGroups']:
        sg = sg_response['SecurityGroups'][0]
        print(f"\n=== 安全组 {sg_name} ({sg['GroupId']}) 的规则 ===")
        print("入站规则:")
        for rule in sg['IpPermissions']:
            print(rule)
        print("出站规则:")
        for rule in sg['IpPermissionsEgress']:
            print(rule)

内容的提问来源于stack exchange，提问作者Igor