このガイドでは、アクティブな Bastionhost インスタンスに不可欠なネットワーク設定について詳しく説明します。セキュリティグループ、IP ホワイトリスト、運用保守 (O&M) ポート、vSwitch の配置を管理し、ご利用のアセットへの高可用性と安全な接続性を確保します。
Bastionhost コンソールにログインします。
左側のナビゲーションウィンドウで、[インスタンス] をクリックします。
[インスタンス] ページで、ターゲットインスタンスを見つけ、次の表の手順をご参照ください。
機能
説明
セキュリティグループの設定
インスタンスがグループ内のアセットにアクセスできるようにします。
説明複数のセキュリティグループを選択できます。
ホワイトリストの設定
インスタンスのパブリックドメイン名へのアクセスを制限します。
ポート番号の設定
デフォルトの運用保守ポートは
60022(SSH) と63389(RDP) です。インスタンスの運用保守ポートをカスタマイズします。説明ポート 1～1024 は Bastionhost 用に予約されています。この範囲のポート番号は設定しないでください。
送信元 IP アドレスと関連設定の表示
インスタンスの送信元 IP アドレスは、アセットへのアクセスに使用されるソース IP アドレスです。これには、パブリック送信元 IP アドレスまたはプライベート送信元 IP アドレスがあります。適切な接続性を確保するために、送信元 IP アドレスを
Elastic Compute Service (ECS)のセキュリティグループルール、ファイアウォール、およびデータベースのホワイトリストに追加することを推奨します。データベースのホワイトリストの詳細については、「IP アドレスホワイトリストの設定」をご参照ください。説明インスタンスを ECS インスタンスの基本セキュリティグループに追加すると、送信元 IP アドレスを許可するルールがセキュリティグループに自動的に追加されます。ただし、ご利用の ECS インスタンスが高度セキュリティグループを使用している場合、Bastionhost インスタンスは高度セキュリティグループに追加できないため、送信元 IP アドレスを許可するルールを手動で追加する必要があります。詳細については、「セキュリティグループルールの追加」をご参照ください。
プライベート利用のためのパブリック IP アドレスの設定
ご利用のアセットが内部通信にパブリック IP アドレスを使用している場合、インスタンスがそれらにアクセスできるようにこの設定を行います。フォーマットは
IP アドレス/マスクです。エントリはカンマ (,) で区切ります。最大 50 エントリまでサポートされます。例：192.168.XX.XX/32,172.16.XX.XX/32。警告この設定を行うと、アクティブな運用保守セッションが切断されます。この操作はオフピーク時間に実行することを推奨します。
マルチゾーンの設定
Bastionhostの Enterprise Edition では、高可用性 (HA) を実現するために、Virtual Private Cloud (VPC) 内の vSwitch を異なるゾーンに配置します。警告プライマリゾーンとセカンダリゾーンを設定すると、アクティブな運用保守セッションが切断されます。この操作はオフピーク時間に実行することを推奨します。
ネットワークを切り替えると、プライベート運用保守ドメイン名が解決される IP アドレスが変更されます。運用保守アクセスには、常にコンソールで提供されるドメイン名を使用してください。
ネットワークを切り替えると、プライベート送信元 IP アドレスが変更されます。セキュリティグループルールが特定の IP アドレスに依存している場合、運用保守アクセスが失敗する可能性があります。セキュリティグループを再設定する必要があります。
ファイアウォールルールなど、プライベート IP アドレスに依存する他のアクセス制御ポリシーがある場合は、切り替え後に新しいアドレスで更新してください。
プライマリとセカンダリの vSwitch を異なるゾーンに設定した場合、プライベート運用保守ドメイン名は 2 つの IP アドレスに解決されます。
シングルゾーンへの切り替え
Bastionhostの Basic edition では、現在のゾーンが利用できなくなった場合のサービス中断を防ぐために、VPC 内の vSwitch を別のゾーンに移動します。警告ゾーンを切り替えると、アクティブな運用保守セッションが切断されます。この操作はオフピーク時間に実行することを推奨します。
ネットワークを切り替えると、プライベート運用保守ドメイン名が解決される IP アドレスが変更されます。運用保守アクセスには、常にコンソールで提供されるドメイン名を使用してください。
ネットワークを切り替えると、プライベート送信元 IP アドレスが変更されます。セキュリティグループルールが特定の IP アドレスに依存している場合、運用保守アクセスが失敗する可能性があります。セキュリティグループを再設定する必要があります。
ファイアウォールルールなど、プライベート IP アドレスに依存する他のアクセス制御ポリシーがある場合は、切り替え後に新しいアドレスで更新してください。
プライベートネットワーク経由の運用保守アクセスの有効化
運用保守アクセスをプライベートネットワークのみに制限します。詳細については、「プライベート運用保守ポータルの有効化」をご参照ください。