Чем группы безопасности отличаются от сетевых ACL и как настраивать доступ?

Группа безопасности (security group) — виртуальный межсетевой экран на уровне ресурса: правила только разрешающие, состояние соединения учитывается (ответ на разрешённый входящий запрос уходит автоматически), по умолчанию входящее запрещено. Сетевой ACL работает на уровне подсети, правила бывают и запрещающие, состояние не учитывается — обратный трафик надо разрешать отдельно, а правила проверяются по номерам по порядку. В повседневной работе основной инструмент — группы безопасности, причём вместо диапазонов адресов правильнее ссылаться на другую группу: «база принимает 5432 от группы приложения».