Elastic Compute Service:セキュリティグループの使用

次の図は、2 つのセキュリティグループルールの例を示しています。1 つのルールは特定の IP アドレスからのインスタンスのリモート管理を許可し、もう 1 つのルールはインスタンスが既知の悪意のある Web サイトにアクセスするのを防ぎます。

• インバウンドルール: 特定の IP アドレス (121.XX.XX.XX) が SSH (Secure Shell Protocol) (ポート 22) を介してインスタンスにアクセスすることを許可します。

• アウトバウンドルール: インスタンスが既知の悪意のある IP アドレス (XX.XX.XX.XX) にアクセスするのを防ぎます。

新しいインスタンスのセキュリティグループを設定する

1. インスタンス購入ページに移動します。ECS コンソール - カスタム起動ページに移動し、目的のインスタンス構成を選択します。

2. セキュリティグループを作成します。[ネットワークとセキュリティ] セクションで、基本またはエンタープライズセキュリティグループを作成し、名前を指定できます。

3. 一般的なルールをすばやく設定します。インスタンスを購入すると、コンソールに一般的なポートとプロトコルのリストが表示されます。これらのオプションを選択して、すべての IP アドレス (0.0.0.0/0) からのトラフィックが、指定されたポートとプロトコルで新しいインスタンスにアクセスできるようにすることができます。

インスタンスの購入時に新しいセキュリティグループを作成する場合、詳細なルールを設定することはできません。ルールはインスタンスの作成後に設定できます。クイック設定を使用して SSH (22) や RDP (Remote Desktop Protocol) (3389) などの管理ポートを開く場合は、インスタンスの作成後にセキュリティグループルールを変更して、信頼できる IP アドレスからのみアクセスを許可する必要があります。

4. 作成後にセキュリティグループルールを変更、追加、または削除します。インスタンスを購入した後、新しいインスタンスのセキュリティグループルールを追加、変更、または削除できます。詳細については、「セキュリティグループルール」をご参照ください。

インスタンスアクセスの制限やデータベースセキュリティポリシーの実装など、より多くのビジネスシナリオでセキュリティグループルールを設定する方法の詳細については、「セキュリティグループの適用ガイドと例」をご参照ください。

セキュリティグループの管理

ECS インスタンスで作成されたセキュリティグループのルールを変更できます。また、インスタンスとは独立してセキュリティグループを作成および管理し、それらを既存の ECS インスタンスに関連付けることもできます。

同じセキュリティグループ内のインスタンス間のネットワーク接続

デフォルトでは、同じ基本セキュリティグループ内の ECS インスタンスは、内部ネットワークを介して相互に通信できます。セキュリティを向上させるために、内部アクセスポリシーを内部分離に変更して、インスタンス間の通信を拒否できます。

エンタープライズセキュリティグループは、内部接続ポリシーの変更をサポートしていません。

• インスタンスが複数のセキュリティグループに関連付けられている場合、少なくとも 1 つのセキュリティグループが内部アクセスを許可していれば、内部ネットワークを介して他のインスタンスと通信できます。

• セキュリティグループの内部アクセスポリシーがアクセスを拒否するように設定されている場合でも、セキュリティグループルールを設定して特定のインスタンス間の通信を許可できます。

異なるセキュリティグループ内のインスタンス間のネットワーク接続

ルールで別のセキュリティグループを権限付与オブジェクトとして設定して、そのセキュリティグループ内のインスタンスが現在のセキュリティグループ内のインスタンスに内部ネットワーク経由でアクセスできるようにすることができます。たとえば、セキュリティグループ A のインバウンドルールの権限付与オブジェクトとしてセキュリティグループ B を設定すると、セキュリティグループ B のインスタンスは内部ネットワーク経由でセキュリティグループ A のインスタンスにアクセスできます。

エンタープライズセキュリティグループは、別のセキュリティグループを権限付与オブジェクトとして指定するルールをサポートしていません。

本番アプリケーションの提案

• セキュリティグループの計画

  • 単一責任: Web サービス、データベース、キャッシュなど、各ビジネスシナリオに個別のセキュリティグループを使用します。

  • 環境の分離: 本番環境とテスト環境には別々のセキュリティグループを使用します。それらを混在させないでください。

  • 命名規則: Environment-Application-Purpose-sg 形式を使用します。例: prod-mysql-db-sg。

• ルールの設定

  • 最小権限: 必要なソースに対して必要なポートのみを開きます。SSH (ポート 22) や RDP (ポート 3389) などの管理ポートを 0.0.0.0/0 に開かないでください。これらのポートへのアクセスは、信頼できる静的 IP アドレスに制限する必要があります。

  • デフォルトで拒否: デフォルトですべてのインバウンドトラフィックを拒否します。必要な場合にのみ、特定のソースから特定のポートへのアクセスを許可するインバウンドルールを追加します。

  • ルールの優先度の競合: インスタンスが複数のセキュリティグループに関連付けられている場合、優先度の低い許可ルールは、優先度の高い拒否ルールによって上書きされます。ネットワーク接続の問題をトラブルシューティングするときは、関連するすべてのセキュリティグループを確認してください。

• 変更管理

  • 本番環境の直接変更を避ける: 本番環境でセキュリティグループを変更することは、リスクの高い操作です。代わりに、セキュリティグループをクローンし、テスト環境で変更をテストします。変更がインスタンストラフィックを中断しないことを確認した後、本番環境のセキュリティグループに適用できます。

課金ルール

セキュリティグループは無料です。

制限