Solucionado
Cara, no video 3.3 "Usando a VPC com instâncias" é dito que o grupo de segurança default da VPC que criamos "permite acesso a tudo e a todos" dentro daquela vpc e dentro daquele grupo de segurnça. Se o acesso é permitido, porque que eu tenho que criar um grupo de segurança para permitir que minha maquina-web acesse minha maquina-bd? O grupo vale pra VPC ou vale so pras sub-redes?
O grupo de segurança vale para a instância (EC2), não para a VPC nem para a sub-rede.
O grupo default permite tráfego entre instâncias que estão usando esse mesmo grupo. Se você colocou a máquina-web e a máquina-bd em grupos de segurança diferentes, então precisa liberar esse acesso manualmente entre eles.
Resumindo: