Elastic Compute Service:セキュリティグループルールの作成

注意事項

セキュリティグループルールを管理する前に、次の項目に注意してください。

セキュリティグループ内のECSインスタンスへのトラフィックを制御するセキュリティグループのインバウンドルールと、インスタンスからのトラフィックを制御するアウトバウンドルールを設定できます。 ECSインスタンスが属する複数のセキュリティグループのルールは、順番にソートされます。 セキュリティグループルールは、ECSインスタンスのインバウンドまたはアウトバウンドネットワークトラフィックを許可または拒否するために使用されます。

• セキュリティグループの機能と使用に関する提案の詳細については、「概要」をご参照ください。

• カスタムセキュリティグループルールに加えて、セキュリティグループには、有効であるが非表示の既定のアクセス制御ルールが含まれています。 詳細については、「基本的なセキュリティグループと高度なセキュリティグループ」をご参照ください。

• セキュリティグループルールの構成とセキュリティグループルールの並べ替えポリシーの詳細については、「セキュリティグループルール」をご参照ください。

• セキュリティグループには、限られた数のルールしか含めることができません。 最小数のルールを追加することを推奨します。 詳細については、「制限」トピックのセキュリティグループの制限セクションを参照してください。

シナリオ

• ECSインスタンスが外部サービスを提供する必要がある場合は、インバウンドアクセスを許可するインバウンドセキュリティグループルールを追加できます。

• ECSインスタンスが攻撃を受けている場合、インバウンドセキュリティグループルールを追加してインバウンドアクセスを拒否できます。

• ECSインスタンスを外部ネットワークにアクティブに接続する場合、セキュリティグループの種類と内部接続ポリシーに基づいて、アウトバウンドアクセスを許可するアウトバウンドセキュリティグループルールを追加するかどうかを決定する必要があります。

• アウトバウンドトラフィックまたはインバウンドトラフィックを制御したくない場合は、対応する方向のセキュリティグループルールを削除できます。

• セキュリティグループ内のルールを他のセキュリティグループにすばやくコピーする場合は、セキュリティグループルールをエクスポートおよびインポートできます。 詳細については、このトピックの「セキュリティグループルールのインポートとエクスポート」をご参照ください。

• セキュリティグループが適しているシナリオの詳細については、「さまざまなユースケースのセキュリティグループ」をご参照ください。

セキュリティグループルールの追加

セキュリティグループルールは、アクション、優先度、プロトコルタイプ、ポート範囲、許可オブジェクトなどの属性によって定義されます。 トラフィックがセキュリティグループルールの承認オブジェクト、ポート範囲、およびプロトコルタイプと一致する場合、トラフィックはセキュリティグループルールと一致します。 次に、セキュリティグループルールで定義されている優先度とアクションに基づいて、トラフィックが許可されているかどうかを判断します。 トラフィックがセキュリティグループルールと一致しない場合、デフォルトのセキュリティグループルールが使用されます。

• 許可オブジェクト: インバウンドルールのトラフィックの送信元またはアウトバウンドルールのトラフィックの送信先。 複数のIPアドレス、セキュリティグループ、プレフィックスリストを設定できます。

  セキュリティグループルールでセキュリティグループとプレフィックスリストを許可オブジェクトとして指定した場合、セキュリティグループルールは指定されたセキュリティグループとプレフィックスリストのすべてのIPアドレスに対して有効になります。

  異なるセキュリティグループ内のリソースが相互に通信できるようにする場合は、セキュリティグループ間の相互アクセスを許可するようにセキュリティグループルールを設定する必要があります。 内部ネットワーク経由でのアクセスを許可するには、CIDRブロックではなく、セキュリティグループを認証オブジェクトとして指定する必要があります。

  デフォルトでは、クラシックネットワークに存在するECSインスタンスの内部ネットワークへのアクセスを許可するインバウンドセキュリティグループルールはありません。 セキュリティ上の理由から、CIDRブロックに基づくアクセスを有効にしないことを推奨します。

• ポート範囲: トラフィックを一致させるために使用されるポート。 詳細については、「共通ポート」をご参照ください。

• プロトコルタイプ: トラフィックのプロトコルタイプ。

  • TCPは、主にwebブラウジング、電子メール送信、リモートログオン、ファイルのアップロードとダウンロードなど、高い信頼性を必要とするアプリケーションに適しています。

  • UDPは、オンラインゲームやビデオ会議など、精度よりも速度に対する要求が高いアプリケーションに主に適しています。

  • インターネット制御メッセージプロトコル (ICMP) は、主に、pingコマンドの使用やエラーレポートや診断情報の送信などのシナリオで、ネットワークデバイス間で制御情報を送信するために使用されます。

  • Generic Routing Encapsulation (GRE) は、高いセキュリティを必要とし、IP over IPなどの異なるネットワークを介してデータが送信されるアプリケーションに主に適しています。

• Priority: 一致するトラフィックの優先度。 値1は、最も高い優先度を示す。

  異なる優先度を有するルールの場合、トラフィックは、より高い優先度を有するルールと照合される。 優先度の高いルールがトラフィックと一致する場合、ルールで指定されたアクションはトラフィックに対して実行され、優先度の低いルールはトラフィックに適用されません。

  優先度が同じでアクションが異なるルールの場合、拒否ルールが適用されます。 拒否ルールがトラフィックと一致しない場合、許可ルールが適用されます。

• Action: トラフィックを許可するか拒否するかを指定します。

セキュリティグループルールの変更

セキュリティグループルールを変更すると、新しいセキュリティグループルールがすぐに有効になります。 変更されたセキュリティグループルールがビジネス要件を満たし、ネットワークセキュリティを確保するために、ネットワークトラフィックとネットワーク接続を監視する必要がある場合があります。 詳細については、「CloudMonitor の概要」をご参照ください。

セキュリティグループルールの照会

セキュリティグループに対してヘルスチェックを実行して、冗長なルールを特定できます。 これにより、セキュリティグループの構成が簡素化され、管理作業負荷が軽減され、ネットワーク管理が容易になり、セキュリティの脆弱性によるリスクが軽減されます。

セキュリティグループルールの削除

セキュリティグループルールを削除する前に、この削除操作の影響を理解して、セキュリティグループルールの偶発的な削除によって引き起こされる不要なネットワークセキュリティの問題を防止してください。 削除されたセキュリティグループルールを使用する場合は、同じルールを作成します。

セキュリティグループの冗長ルールを確認する

セキュリティグループルールのインポートとエクスポート

ECSコンソールでは、セキュリティグループルールをエクスポートおよびインポートできます。 この機能は、セキュリティグループルールのバックアップ、復元、移行などのシナリオに適しています。

セキュリティグループルールをインポートする前に、インポートの失敗を防ぐために次の制限が満たされていることを確認してください。

• セキュリティグループルールの優先度の値は 1～100 となります。 セキュリティグループルールの優先度が100を超える場合、インポートするルールからルールを削除し、残りのルールをインポートしてから、ECSコンソールで削除したルールを作成する必要があります。

• ECSコンソールでセキュリティグループルールをJSONまたはCSVファイルとしてコンピューターにエクスポートしてバックアップすることができます。 ファイル形式が正しく、ファイルがAlibaba Cloudセキュリティグループルールファイルの命名規則に従っていることを確認してください。

• 一度に200個以下のルールをインポートすることを推奨します。

• リージョン間でルールをインポートする場合、セキュリティグループルール内の権限付与オブジェクトをセキュリティグループまたはプレフィックスリストにすることはできません。

セキュリティグループのルールに関するFAQとベストプラクティス

• セキュリティグループの構成、セキュリティグループルール、ホストのペナルティとブロック解除手順、およびリソースクォータ管理については、「セキュリティに関するFAQ」をご参照ください。

• [プロトコルタイプ] および [ポート範囲] パラメーターの設定方法については、「 [共通ポート] 」および「インスタンスが接続を受け入れるために使用するデフォルトポートの変更」をご参照ください。

• ECSインスタンスやENIなどのクラウドリソースを新しいセキュリティグループに追加できます。 詳細については、「セキュリティグループでのECSインスタンスの管理」および「セキュリティグループでのENIの管理」をご参照ください。

• セキュリティグループの内部アクセス制御ポリシーを変更する方法については、「基本セキュリティグループの内部アクセス制御ポリシーの変更」をご参照ください。

• セキュリティグループルールを設定するためのベストプラクティスとユースケース:

  • 異なるユースケースのセキュリティグループ

  • セキュリティグループのベストプラクティス (インバウンドルール)

  • ECSセキュリティグループのベストプラクティス (セキュリティグループの承認)

  • ECSセキュリティグループのベストプラクティス (セキュリティグループ設定)

• ECSインスタンスのファイアウォールを有効にし、外部アクセスをブロックするようにセキュリティグループルールを設定した場合、インスタンスに接続できない可能性があります。 システムファイアウォールを有効および無効にするためのベストプラクティス:

  • Windowsインスタンスのシステムファイアウォールの管理

  • Linux ECSインスタンスのシステムファイアウォールの有効化または無効化

• その他のベストプラクティス:

  • SELinuxの有効化または無効化

  • RAMユーザーが高リスクのセキュリティグループルールを作成することを禁止

  • 内部ネットワークを介したECSインスタンスの接続

  • クラシックネットワークの異なるセキュリティグループに属するインスタンス間の内部ネットワークベースの相互接続を設定するためのベストプラクティス