用途：管理阿里云 ECS 实例的安全组与网络配置，包括安全组、入出站规则、实例关联、弹性网卡（ENI）以及 VPC 网络核查。
前置检查：需已安装阿里云 CLI 且版本不低于 3.3.3，可通过 aliyun version 确认；需配置有效凭证，可通过 aliyun configure list 检查，若无有效 profile 应先引导用户完成凭证配置；还需更新 CLI 插件： aliyun configure set --auto-plugin-install true aliyun plugin update
可观测性要求：加载技能时生成一次随机会话 ID（32 位小写十六进制字符串），每条 aliyun 命令附加 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-ecs-security-group/{session-id}。
核心工作流：执行任何命令或 API 调用前，所有用户可自定义参数必须与用户确认。覆盖五类操作：安全组管理（describe-security-groups、create-security-group、delete-security-group，删除前必须无实例）、安全组规则（describe-security-group-attribute 查看，authorize-security-group 加入站、authorize-security-group-egress 加出站、revoke-security-group 撤销）、实例与安全组关联（join-security-group、leave-security-group）、弹性网卡管理（describe-network-interfaces 列表，create-network-interface 加 attach-network-interface 创建并挂载辅助网卡）、VPC 网络核查（vpc describe-vpcs、describe-v-switches、describe-route-table-list 检查 VPC、交换机与路由表状态）。
权限：资料列出所需 RAM 策略动作，包括 ecs:DescribeSecurityGroups、ecs:CreateSecurityGroup、ecs:DeleteSecurityGroup、ecs:DescribeSecurityGroupAttribute、ecs:AuthorizeSecurityGroup、ecs:AuthorizeSecurityGroupEgress、ecs:RevokeSecurityGroup、ecs:JoinSecurityGroup、ecs:LeaveSecurityGroup、ecs:DescribeNetworkInterfaces、ecs:CreateNetworkInterface、ecs:AttachNetworkInterface 以及 vpc:DescribeVpcs、vpc:DescribeVSwitches、vpc:DescribeRouteTableList。命令因权限失败时须阅读 references/ram-policies.md，使用 ram-permission-diagnose 技能并暂停，直至权限授予。
最佳实践：最小权限，只开放必要端口，避免以 0.0.0.0/0 为来源 CIDR；按应用层级使用不同安全组；定期审计规则；用 CIDR 段限制来源 IP。
限制：资料未说明费用、配额上限及具体命令返回字段；实际操作前需按资料要求确认参数并配置好凭证与插件。