本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Application Load Balancer 的安全组

应用程序负载均衡器的安全组控制允许到达和离开负载均衡器的流量。您必须确保负载均衡器可同时在侦听器端口和运行状况检查端口上与已注册目标进行通信。当您将侦听器添加到负载均衡器或更新负载均衡器所使用的目标组的运行状况检查端口来路由请求时，您必须验证与负载均衡器关联的安全组是否允许新端口上的双向流量。如果它们不允许，您可以编辑当前关联的安全组的规则或将其他安全组与负载均衡器关联。您可以选择允许的端口和协议。例如，您可以打开 Internet 控制消息协议 (ICMP) 连接，让负载均衡器响应 ping 请求（但是，ping 请求不会转发到任何实例）。

推荐的规则

对于面向 Internet 的负载均衡器，建议使用以下规则。

建议内部负载均衡器使用以下规则。

对于用作 Network Load Balancer 目标的 Application Load Balancer，建议使用以下规则。

请注意，Application Load Balancer 的安全组使用连接跟踪来跟踪有关来自 Network Load Balancer 的流量的信息。无论为 Application Load Balancer 设置的安全组规则如何，都会执行此跟踪 要了解有关亚马逊EC2连接跟踪的更多信息，请参阅亚马逊EC2用户指南中的安全组连接跟踪。

为确保您的目标仅接收来自负载均衡器的流量，请将与您的目标关联的安全组限制为仅接受来自负载均衡器的流量。这可以通过将负载均衡器的安全组设置为目标安全组的入口规则中的来源来实现。

我们还建议您允许入站ICMP流量以支持路径MTU发现。有关更多信息，请参阅 Amazon EC2 用户指南中的路径MTU发现。

更新关联的安全组

您可以随时更新与负载均衡器关联的安全组。

要更新安全组，请使用 AWS CLI

使用set-security-groups命令。