安全组是一种虚拟防火墙，能够控制ECS实例的出入站流量。安全组的入方向规则控制ECS实例的入站流量，出方向规则控制ECS实例的出站流量。
创建ECS实例时，您可以指定一个或多个安全组。如果您创建ECS实例时未指定安全组，将使用默认安全组。在决定ECS实例的流量能否通过时，与ECS实例关联的多个安全组的规则，将按固定的策略排序，共同生效。
您可以为安全组新增规则，修改或删除已有规则，这些规则变动会自动地作用于安全组中的所有ECS实例。更多信息，请参见安全组规则。您可以随时修改ECS实例关联的安全组，修改后安全组的规则将会自动地作用于ECS实例。ECS实例关联的安全组，其规则作用于ECS实例的主网卡。专有网络ECS实例的其他弹性网卡，可以指定与主网卡不同的安全组。在专有网络VPC下，安全组仅能在所属的VPC下使用，在创建VPC网络下的ECS实例时，您指定的虚拟交换机和安全组，必须属于同一个VPC。
组内互通和授权安全组访问，是安全组提供的两项重要特性。组内互通，是指安全组内的ECS实例内网互通。授权安全组访问，是指您可以添加授权对象为安全组的安全组规则，从而允许或拒绝另一个安全组中的ECS实例，通过内网访问该安全组中的ECS实例。安全组分为普通安全组和企业级安全组两种类型，两者均免费，适用于不同的使用场景。普通安全组支持组内互通功能，支持添加授权安全组访问的规则，但可容纳的私网IP数量小于企业级安全组。企业级安全组可以容纳更多的私网IP地址数量，但不支持组内互通功能，也不支持添加授权安全组访问的规则。在ECS实例关联到多个安全组时，同一块网卡只能使用一种类型的安全组。建议您根据自己的使用需求来选择安全组类型。更多信息，请参见普通安全组与企业级安全组。
在您使用DescribeSecurityGroups接口查询到安全组的ServiceManaged属性为True，或使用控制台看到安全组有类似云产品托管的安全组不支持修改操作的提示时，表示该安全组为托管安全组。托管安全组属于用户账号，但操作权限属于云产品，用户仅能查看不能操作。更多信息，请参见托管安全组。
在您使用DeleteSecurityGroup接口删除安全组时返回错误码InvalidOperation.DeletionProtection，或使用控制台删除安全组看到类似删除保护的提示时，说明该安全组开启了删除保护功能。在您创建ACK集群时，关联的安全组会开启删除保护功能，来防止误删除。删除保护功能无法手动关闭，只有在删除了关联的ACK集群后，才能够自动关闭。更多信息，请参见关闭安全组删除保护。
合理使用安全组可以有效提高实例的安全性，但提高实例安全性是一项系统的工作，您还可以结合更多其他做法。更多信息，请参见云服务器ECS安全性。
