Virtual Private Cloud:異なるシナリオでのセキュリティグループの構成

シナリオ1: ECSインスタンス間の通信を許可する

VPCのECSインスタンスが相互に通信する場合は、次の情報に注意してください。

• デフォルトでは、VPCの同じセキュリティグループ内のECSインスタンスは相互に通信できます。
• 異なるVPC内のECSインスタンスは互いに通信できません。 異なるVPCのECSインスタンスを接続するには、Express connect、VPN Gateway、またはCloud Enterprise Network (CEN) を使用してVPCを接続する必要があります。 次に、次の情報に基づいてセキュリティグループルールを設定し、ECSインスタンスが相互に通信できるようにします。

  セキュリティグループルール	方向	Action	プロトコルタイプとポート範囲	権限付与タイプ	承認済みオブジェクト
  VPC 1のECSインスタンスのセキュリティグループ設定	インバウンド	許可	Windows: RDP 3389/3389	CIDRブロック	VPC 2のECSインスタンスのプライベートIPアドレス。 説明 VPC 2のすべてのECSインスタンスがVPC 1のECSインスタンスと通信できるようにする場合は、0.0.0.0/0を入力します。
  	インバウンド	許可	Linux: SSH 22/22	CIDRブロック
  	インバウンド	許可	カスタマイズTCP Custom	CIDRブロック
  VPC 2のECSインスタンスのセキュリティグループ設定	インバウンド	許可	Windows: RDP 3389/3389	CIDRブロック	VPC 1のECSインスタンスのプライベートIPアドレス。 説明 VPC 1のすべてのECSインスタンスがVPC 2のECSインスタンスと通信できるようにする場合は、0.0.0.0/0を入力します。
  	インバウンド	許可	Linux: SSH 22/22	CIDRブロック
  	インバウンド	許可	カスタマイズTCP Custom	CIDRブロック

シナリオ2: 特定のIPアドレスまたは特定のポートからのアクセスを拒否する

VPC内のECSインスタンスへの特定のIPアドレスからのアクセスを拒否する場合、またはECSインスタンスの特定のポートへのアクセスを拒否する場合は、次の情報に基づいてセキュリティグループルールを設定できます。

シナリオ3: 特定のIPアドレスのみがECSインスタンスにリモートでログインできるようにする

VPC内のECSインスタンスがelastic IPアドレス (EIP) に関連付けられている場合、またはインターネットNATゲートウェイで設定されている場合、次のセキュリティグループルールを追加して、Windowsを実行するクライアントからのリモートログオン、またはLinuxを実行するクライアントからのSSHログオンを許可できます。

シナリオ4: インターネット経由でECSインスタンスにデプロイされたHTTPまたはHTTPSサービスへのアクセスをユーザーに許可する

VPCのECSインスタンスにWebサイトをデプロイし、ECSインスタンスがEIPまたはインターネットNATゲートウェイを使用してインターネットに接続するサービスを提供する場合、次のセキュリティグループルールを設定して、ユーザーがインターネット経由でWebサイトにアクセスできるようにします。