一、操作指南
3. 按需为集群绑定安全组。
注意：警告：
注意：安全组未添加任何规则时，默认拒绝所有入/出站的流量。为保障集群正常运行，建议配置安全组后，放通集群所在子网全部 IP 的所有端口，或至少参照下文 安全组最小化 IP/端口配置规则 进行配置。
注意：1. 绑定多个安全组时：安全组规则的优先级按列表位置从上至下依次递减，即列表顶端规则优先级最高，最先匹配；列表底端规则最后匹配。
注意：2. 若使用子账户操作安全组，请在 访问管理-策略 中，将已授权【vpc:ModifyNetworkInterface、vpc:ModifyNetworkInterfaceAttribute、cvm:DisassociateNetworkInterfaceSecurityGroups】三个接口的策略与指定子账号关联，以确保正常操作。
二、安全组最小化 IP/端口配置规则
1. 安全组最小化端口配置：
注意：以下端口需要在入站规则、出站规则中分别添加。
| 节点类型 | 端口名称 | 默认端口 | 通信方向 | 说明 |
| BE | be_port | 9060 | FE -> BE | BE 上 Thrift Server 的端口，用于接收来自 FE 的请求 |
| BE | webserver_port | 8040 | BE <-> BE | BE 上的 HTTP Server 端口 |
| BE | heartbeat_service_port | 9050 | FE -> BE | BE 上的心跳服务端口（Thrift），用于接收来自 FE 的心跳 |
| BE | brpc_port | 8060 | FE <-> BE，BE <-> BE | BE 上的 BRPC 端口，用于 BE 之间的通信 |
| FE | http_port | 8030 | FE <-> FE，Client <-> FE | FE 上的 HTTP Server 端口 |
| FE | rpc_port | 9020 | BE -> FE，FE <-> FE | FE 上的 Thrift Server 端口，每个 FE 的配置需保持一致 |
| FE | query_port | 9030 | Client <-> FE | FE 上的 MySQL Server 端口 |
| FE | edit_log_port | 9010 | FE <-> FE | FE 上的 BDBJE 通信端口 |
| FE | fdb_port | 4500 | FE <-> FDB，MS <-> FDB，FDB <-> FDB | 存算分离架构中 FoundationDB 的服务端口，用于元数据存储与节点间通信 |
| Broker | broker_ipc_port | 8000 | FE ->Broker，BE ->Broker | Broker 上的 Thrift Server 通信端口，用于接收来自 FE 和 BE 的请求 |
2. 安全组最小化 IP 配置。
| 分类 | 建议配置 | 最小化 IP 配置（配置较繁琐，不建议） |
| 入站规则 | 1. 数据写入端的 IP/IP 段。2. 集群所在子网的全部 IP 段。注意：集群使用多个子网时，需同时添加多个子网的网段。 | 1. 数据写入端的 IP/IP 段。2. 所有 FE、BE 节点（若有弹性节点，也需配置）的 IP。警告：FE、BE 节点有扩容时，需要额外手动添加新节点的 IP。 |
| 出站规则 | 1. 数据查询端的 IP/IP 段。2. 集群所在子网的全部 IP 段。注意：集群使用多个子网时，需同时添加多个子网的网段。 | 1. 数据查询端的 IP/IP 段。2. 所有 FE、BE 节点（若有弹性节点，也需配置）的 IP。警告：FE、BE 节点有扩容时，需要额外手动添加新节点的 IP。 |