# 如何正确配置集群安全组规则？
Autopilot集群在创建时将会自动创建两个安全组，其中Master节点的安全组名称是：**{集群名}-cce-control-{随机ID}** ；ENI的安全组的名称是：**{集群名}-cce-eni-{随机ID}**。
用户可根据安全需求，登录[VPC控制台](https://console.huaweicloud.com/vpc/#/vpc/vpcs/list)，在左侧导航栏单击"访问控制 \> 安全组"，找到集群对应的安全组规则进行修改和加固。
![](https://support.huaweicloud.com/cce-autopilot_faq/public_sys-resources/notice_3.0-zh-cn.png)
- 安全组规则的**修改和删除** **可能会影响集群的正常运行**，请谨慎操作。如需修改安全组规则，请尽量避免对CCE运行依赖的端口规则进行修改。
- 在集群中添加新的安全组规则时，需要**确保新规则与原有规则不会发生冲突**，否则可能导致原有规则失效，影响集群正常运行。
 
 #### Master节点安全组
集群自动创建的Master节点安全组名称为**{集群名}-cce-control-{随机ID}** ，默认端口说明请参见[表1]。
 表1Master节点安全组默认端口说明 
| 方向    | 端口 | 默认源地址                  | 说明               | 是否支持修改 | 修改建议 |
|:---|:---|:---|:---|:---|:---|
| 入方向规则 | 全部 | 本安全组                   | 属于本安全组的源地址需全部放通。 | 不可修改   | 不涉及  |
| 出方向规则 | 全部 | 所有IP地址（0.0.0.0/0及::/0） | 默认全部放通。          | 不可修改   | 不涉及  |
   
#### ENI安全组
Autopilot集群会创建名为**{集群名}-cce-eni-{随机ID}** 的ENI安全组，默认为集群中的容器绑定该安全组，默认端口说明请参见[表2]。
 表2ENI安全组默认端口说明 
| 方向    | 端口 | 默认源地址                  | 说明                                          | 是否可修改 | 修改建议                                                                             |
|:---|:---|:---|:---|:---|:---|
| 入方向规则 | 全部 | 本安全组                   | 属于本安全组的源地址需全部放通。                            | 不可修改  | 不涉及                                                                              |
| 入方向规则 | 全部 | Master节点网段             | Master节点主动访问kubelet（如执行kubectl exec {pod}）。 | 不可修改  | 不涉及                                                                              |
| 出方向规则 | 全部 | 所有IP地址（0.0.0.0/0及::/0） | 默认全部放通。                                     | 可以修改  | 如需加固出方向规则，请注意指定端口需要放通，详情请参见[ENI安全组出方向规则加固建议]。 |
   
 #### ENI安全组出方向规则加固建议
对于**出方向规则**，Autopilot集群创建的ENI安全组默认全部放通，通常情况下不建议修改。如需加固出方向规则，请注意如下端口需要放通。
表3ENI安全组出方向规则最小范围 
| 端口       | 放通地址段             | 说明                                 |
|:---|:---|:---|
| 所有端口     | 本安全组              | 属于本安全组的目的地址需全部放通，容器间网络互访。          |
| TCP：5443 | VPC网段             | kube-apiserver服务端口，提供K8s资源的生命周期管理。 |
| TCP：443  | 100.125.0.0/16网段  | 访问OBS端口或者SWR端口，拉取镜像。               |
| UDP：53   | 100.125.0.0/16网段  | 用于域名解析。                            |
| TCP：443  | VPC网段             | 通过SWR终端节点，拉取镜像。                    |
| 所有端口     | 198.19.128.0/17网段 | 访问VPCEP服务。                         |
| TCP：9443 | VPC网段             | Node节点网络插件访问Master节点。              |