CloudFormation创建SG与RDS时提示Invalid security group的问题排查

1. 你的CloudFormation模板存在的问题 #

触发这个InvalidParameterValue错误的核心原因是安全组的网络环境不匹配：

• 当创建AWS::EC2::SecurityGroup时如果不指定VpcId属性，CloudFormation会根据你的AWS账户配置，可能将安全组创建在EC2-Classic网络中（如果你的账户还支持传统的EC2-Classic模式）。而RDS实例默认会部署在VPC环境下，EC2-Classic的安全组无法关联到VPC中的RDS实例，这就导致了安全组参数无效的报错。
• 另外，当前模板的安全组没有配置任何入站规则（SecurityGroupIngress），就算模板创建成功，后续你也无法连接到RDS数据库，这是一个隐性的功能缺陷。

2. 正确创建并关联安全组到RDS的方法 #

你需要确保安全组和RDS实例处于同一个VPC环境，同时配置必要的访问规则。以下是修正后的完整模板：

AWSTemplateFormatVersion: 2010-09-09
Parameters:
  TestDBMasterUserPassword:
    Type: String
    NoEcho: true
  VpcId:
    Type: AWS::EC2::VPC::Id
    Description: 选择要部署RDS和安全组的VPC（不确定的话选默认VPC即可）
Resources:
  TestDB:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      Engine: mysql
      DBInstanceClass: db.t2.micro
      AllocatedStorage: 20
      MasterUsername: root
      MasterUserPassword: !Ref TestDBMasterUserPassword
      VPCSecurityGroups:
        - !Ref TestDBSecurityGroup
  TestDBSecurityGroup:
    Type: 'AWS::EC2::SecurityGroup'
    Properties:
      GroupDescription: Security Group for TestDB
      VpcId: !Ref VpcId
      SecurityGroupIngress:
        # 允许指定IP段访问MySQL的3306端口，替换为你的可信IP（比如办公网络IP）
        - IpProtocol: tcp
          FromPort: 3306
          ToPort: 3306
          CidrIp: 192.168.1.0/24
      SecurityGroupEgress:
        # 默认允许所有出站流量，按需调整
        - IpProtocol: -1
          FromPort: 0
          ToPort: 65535
          CidrIp: 0.0.0.0/0

关键修正点说明：

• 指定VpcId：通过添加VpcId参数并关联到安全组，确保安全组创建在目标VPC中，和RDS实例处于同一网络环境，彻底解决了安全组类型不匹配的问题。
• 添加入站规则：配置了允许访问MySQL默认端口3306的规则，你可以将CidrIp替换为你的实际IP或可信IP段（生产环境绝对避免使用0.0.0.0/0）。
• 显式出站规则：虽然CloudFormation会自动添加默认出站规则，但显式声明让模板逻辑更清晰，你也可以根据业务需求限制出站流量范围。

如果你的AWS账户已经没有EC2-Classic环境，不指定VpcId的安全组会默认创建在默认VPC，但显式指定VpcId是更可靠的实践，能避免不同AWS环境下的行为差异。

内容的提问来源于stack exchange，提问作者Yuki Inoue