Server Load Balancer:Ajouter une instance ALB à un groupe de sécurité

Présentation des groupes de sécurité

Les groupes de sécurité se divisent en groupes de sécurité gérés et groupes de sécurité personnalisés. Les services cloud créent les groupes de sécurité gérés : vous pouvez les consulter, mais vous ne pouvez ni les modifier, ni les supprimer, ni y ajouter des instances. Vous créez vous-même les groupes de sécurité personnalisés, qui se répartissent en groupes de sécurité basiques et avancés.

Lorsque vous créez une instance ALB, le système crée automatiquement un groupe de sécurité géré dans le même VPC. Ce groupe de sécurité géré inclut les règles par défaut suivantes :

• Règles de priorité 1 autorisant le trafic entrant vers les adresses IP locales de l'ALB utilisées pour les vérifications d'état des serveurs backend.

• Règles de priorité 100 autorisant tout le trafic entrant.

• Règles de priorité 1 autorisant tout le trafic sortant.

• Pour les instances ALB Extensible Edition, le groupe de sécurité géré inclut deux règles supplémentaires de priorité 1 refusant l'accès client depuis les blocs CIDR 33.0.0.0/8 et 22.0.0.0/16.

Le groupe de sécurité géré seul autorise tout le trafic. Pour restreindre l'accès, ajoutez l'instance ALB à des groupes de sécurité personnalisés.

Fonctionnement des règles

Lorsque vous ajoutez votre instance ALB à des groupes de sécurité personnalisés :

• Règles d'autorisation uniquement : tout le trafic reste autorisé.

• Règles d'autorisation à des priorités plus élevées + une règle de refus globale à la priorité la plus basse : seul le trafic vers et depuis les adresses IP spécifiées est autorisé.

• Règles de refus uniquement : le trafic vers et depuis les adresses IP spécifiées est refusé.

En personnalisant les règles du groupe de sécurité, vous pouvez autoriser ou refuser l'accès depuis des adresses IP spécifiques ou en fonction des protocoles et des ports.

Limites

Les groupes de sécurité personnalisés pour les instances ALB présentent les limites suivantes :

• Ils doivent appartenir au même VPC que l'instance ALB.

• Le nombre maximal de groupes de sécurité personnalisés équivaut au quota de groupes de sécurité par interface réseau élastique (ENI) Elastic Compute Service (ECS) moins 1 (réservé pour le groupe de sécurité géré).

• Le nombre maximal de règles équivaut au quota de règles par ENI ECS moins les règles présentes dans le groupe de sécurité géré.

• Une instance ALB ne peut utiliser qu'un seul type de groupe de sécurité personnalisé (basique ou avancé). Pour changer de type, retirez d'abord l'instance de tous les groupes de sécurité actuels, puis ajoutez-la à des groupes de sécurité de l'autre type.

Considérations

• Le trafic sortant comprend les requêtes transférées aux serveurs backend et les réponses envoyées aux clients. Ne configurez pas de règles sortantes pour les groupes de sécurité ALB afin d'éviter toute interruption de service.

• Ne configurez pas de règles de refus de priorité 1 ciblant les adresses IP locales de l'ALB. Ces règles bloquent les vérifications d'état entre l'instance ALB et les serveurs backend.

Groupes de sécurité vs ACL

Les groupes de sécurité et les ACL filtrent tous deux le trafic pour les instances ALB, avec les différences suivantes :

• Groupes de sécurité :

  • Contrôlent le trafic par instance ou par écouteur (pour des ports spécifiques).

  • Prennent en charge simultanément les règles d'autorisation et de refus.

  • Prennent en charge IPv4 et IPv6.

• ACL :

  • Contrôlent le trafic uniquement par écouteur.

  • Définissent une liste d'adresses IP comme liste blanche ou liste noire.

  • Prennent en charge uniquement IPv4.

Ajouter votre instance ALB à un groupe de sécurité

Retirer votre instance ALB d'un groupe de sécurité