В качестве source/destination SG можно указать другую security group — разрешая трафик от сетевых интерфейсов с этой SG, без хардкода IP; удобно связывать ALB→app→db слои.
Разбор
- При замене инстансов IP меняются — SG-ссылки стабильнее.
- Работает в пределах VPC/peered с нюансами.
- Не открывайте 0.0.0.0/0 на SSH/RDP.
- Описывайте правила как код (Tf/CFN).
Итог
Ссылки на SG делают микросегментацию устойчивой к смене IP.
