Un groupe de sécurité est un pare-feu virtuel qui contrôle le trafic entrant et sortant pour les instances ECS, en isolant les ressources dans des domaines de sécurité selon leur niveau de confiance.
Fonctionnement
Chaque instance ECS doit appartenir à au moins un groupe de sécurité. Les règles de tous les groupes associés sont évaluées par ordre de priorité pour autoriser ou refuser le trafic.
Les règles prennent effet immédiatement. Chaque règle spécifie la source (entrante) ou la destination (sortante), la plage de ports, le protocole, la stratégie (Allow/Deny), ainsi que la priorité. Consultez la section Règles de groupe de sécurité.
Par défaut, les règles s'appliquent à l'interface réseau élastique (ENI) principale. Pour les ENI secondaires attachées à une instance dans un VPC, vous pouvez attribuer différents groupes de sécurité afin de mettre en œuvre un contrôle granulaire du trafic.
Contraintes :
Les groupes de sécurité sont spécifiques à une région et à un VPC. Le vSwitch et le groupe de sécurité doivent appartenir au même VPC.
Une instance ou une ENI doit appartenir à au moins un groupe de sécurité. Consultez les Limites pour connaître les quotas de groupes.
Si aucun groupe de sécurité n'est spécifié lors du lancement, l'instance utilise le groupe de sécurité par défaut du VPC. Consultez la section Groupes de sécurité par défaut.
Dans l'illustration ci-dessous, un VPC contient ECS 1 et ECS 2. Tous deux utilisent l'ENI principale et appartiennent au Security Group 1. Le Security Group 1 est un groupe de sécurité basique avec une connectivité interne par défaut. ECS 1 et ECS 2 peuvent communiquer via le réseau interne par défaut. Des règles personnalisées régissent l'accès entrant et sortant. Par exemple, si les règles entrantes autorisent le protocole ICMP, toute adresse IP peut envoyer une requête ping vers ces instances. En l'absence de règles sortantes, tout le trafic sortant est autorisé.
Types de groupes de sécurité
Groupes de sécurité basiques et avancés
Les groupes de sécurité sont classés comme basiques ou avancés. Les deux types sont gratuits. Dans l'API, le paramètre SecurityGroupType correspond à Basique (normal) et Avancé (enterprise).
Groupe de sécurité basique : les instances communiquent par défaut (connectivité intra-groupe). Les règles peuvent référencer d'autres ID de groupe de sécurité (par exemple, sg-123) comme source ou destination. Prend en charge un nombre plus restreint d'adresses IP privées.
Groupe de sécurité avancé : aucune connectivité intra-groupe implicite. Les règles doivent utiliser des adresses IP ou des blocs CIDR (par exemple, 10.0.0.0/24). Prend en charge un plus grand nombre d'adresses IP privées.
Les groupes de sécurité associés à une ENI doivent tous être du même type. Consultez la section Groupes de sécurité basiques et avancés.
Groupes de sécurité personnalisés et gérés
Les groupes de sécurité sont également classés comme personnalisés ou gérés. Ces deux catégories peuvent être basiques ou avancées.
Groupe de sécurité personnalisé : créé et géré par vos soins via la console ECS ou l'API. Vous contrôlez les règles et le cycle de vie. Le groupe de sécurité par défaut est un groupe de sécurité personnalisé. Consultez la section Créer un groupe de sécurité.
Groupe de sécurité géré : créé par les services cloud et accessible en lecture seule. Consultez la section Groupes de sécurité gérés.
Pour identifier un groupe de sécurité géré, vérifiez si ServiceManaged renvoie True dans l'API DescribeSecurityGroups, ou si la console affiche une bannière Managed by Cloud Service .
Bonnes pratiques
Suivez ces recommandations pour sécuriser vos instances ECS :
-
Établissez une convention de nommage
Utilisez des noms clairs et des tags pour vos groupes de sécurité. Un tagging cohérent simplifie le filtrage et la gestion à grande échelle.
-
Traitez les groupes de sécurité comme des listes d'autorisation
Refusez tout accès par défaut. Ajoutez uniquement des règles qui autorisent explicitement le trafic pour des ports et des adresses IP source spécifiques.
-
Principe du moindre privilège (PoLP)
Accordez uniquement l'accès minimal requis. Par exemple, restreignez le port 22 (SSH) au bloc CIDR de votre bureau ou à l'adresse IP de votre hôte bastion plutôt qu'à
0.0.0.0/0. -
Appliquez le principe du moindre privilège
Si les instances d'un groupe de sécurité basique n'ont pas besoin de communiquer entre elles, définissez la stratégie intra-groupe sur l'isolation interne.
-
Simplifiez vos règles
Regroupez les règles par objectif dans des groupes de sécurité distincts. Une accumulation excessive de règles au sein d'un seul groupe augmente la complexité de gestion. Utilisez la fonctionnalité de vérification de l'état pour supprimer les règles inutilisées.
-
Isolez les instances par rôle applicatif
Placez les instances exposées publiquement dans un groupe de sécurité qui n'ouvre que les ports 80/443. Placez les instances de base de données (MySQL, Redis) dans un groupe séparé qui bloque l'accès Internet public et n'accepte que le trafic provenant de la couche application.
-
Ne modifiez jamais directement un groupe de sécurité de production
Clonez le groupe dans un environnement de préproduction, appliquez et validez les modifications, puis déployez-les en production.