自动化脚本如何清理未关联安全组

wen 实用脚本 2026-07-07 3

最佳实践与操作指南

目录导读

为什么需要清理未关联安全组？
未关联安全组的风险与成本
自动化清理的核心逻辑
脚本实现方案（附代码示例）
常见问题与问答（FAQ）
总结与下一步行动

为什么需要清理未关联安全组？

在云环境（如AWS、阿里云、腾讯云）中，安全组（Security Group）是控制实例流量的关键组件，但随着业务迭代，许多安全组可能未被任何云资源（如ECS、RDS、SLB）引用，成为“僵尸安全组”，这些未关联安全组不仅占用配额,还增加安全审计复杂度和潜在攻击面。

自动化脚本如何清理未关联安全组

核心痛点

配额浪费：大多数云厂商限制每个账号的安全组数量（例如默认200个）,未使用组会阻塞新规则创建。
审计负担：安全团队需人工排查大量无效规则,误判风险增高。
网络安全风险：未被引用的安全组可能存在旧规则（如开放SSH 22端口），若被意外关联,可能造成攻击入口。

未关联安全组的风险与成本

风险类型	具体影响	相关数据参考
安全合规	未清理组暴露历史规则，增加PCI-DSS等认证失败概率	50%以上企业因僵尸规则未清理导致合规扣分
运维成本	手动排查耗时，例如1000个安全组需2天人工核对	自动化清理可节省90%人力
资源配额	大型云账户常因配额不足，新业务延期上线	每100个未关联组可能浪费约5%的配额

自动化清理的核心逻辑

清理脚本的核心思路是：
枚举所有安全组 → 检查其关联的资源（实例、网卡、RDS等） → 筛选无关联组 → 二次确认并删除。

关键设计原则

安全优先：删除前必须生成备份清单,并预留24小时恢复窗口。
粒度控制：支持按区域、VPC、标签粒度选择性清理。
日志记录：每次操作需记录到数据库或日志文件,便于回滚。

脚本实现方案（附代码示例）

以下提供基于AWS CLI和Python的通用脚本（兼容阿里云需改造授权方式）。

1 准备工作

安装对应云厂商CLI工具并配置密钥。
确保IAM角色拥有DescribeSecurityGroups、DescribeInstances、DeleteSecurityGroup权限。
设置脚本执行环境（Linux或Windows WSL）。

2 核心脚本（Python 3.8+）

import boto3
from botocore.exceptions import ClientError
def list_unused_security_groups(region='us-west-2'):
    ec2 = boto3.client('ec2', region_name=region)
    ec2_resource = boto3.resource('ec2', region_name=region)
    # 获取所有安全组
    all_sgs = ec2.describe_security_groups()['SecurityGroups']
    # 获取有关联的SG ID（实例、网卡、RDS等）
    used_sg_ids = set()
    # 检查EC2实例关联的SG
    instances = ec2.describe_instances()
    for reservation in instances['Reservations']:
        for instance in reservation['Instances']:
            for sg in instance['SecurityGroups']:
                used_sg_ids.add(sg['GroupId'])
    # 检查弹性网卡关联的SG
    enis = ec2.describe_network_interfaces()
    for eni in enis['NetworkInterfaces']:
        for sg in eni['Groups']:
            used_sg_ids.add(sg['GroupId'])
    # 补充检查RDS、ELB等资源（此处省略，可扩展）
    # 筛选未关联组
    unused_sgs = [sg for sg in all_sgs if sg['GroupId'] not in used_sg_ids]
    return unused_sgs
def delete_unused_sg(sg_id, dry_run=True):
    ec2 = boto3.client('ec2')
    try:
        if not dry_run:
            ec2.delete_security_group(GroupId=sg_id)
            print(f"已删除安全组 {sg_id}")
        else:
            print(f"【模拟操作】将删除安全组 {sg_id}")
    except ClientError as e:
        print(f"删除失败 {sg_id}: {e}")
# 执行主流程
if __name__ == "__main__":
    region = "us-west-2"  # 替换为你的区域
    unused = list_unused_security_groups(region)
    print(f"发现 {len(unused)} 个未关联安全组")
    # 生成备份清单
    with open(f"unused_sg_backup_{region}.csv", "w") as f:
        for sg in unused:
            f.write(f"{sg['GroupId']},{sg['GroupName']}\n")
    # 模拟删除（先预览再启用）
    for sg in unused:
        delete_unused_sg(sg['GroupId'], dry_run=True)  # 改为dry_run=False表示真实删除