Cloud Firewall:インターネット境界ファイアウォール

ECS アセット (ECS パブリック IP アドレスおよび ECS EIP を含む) を保護する場合、Cloud Firewall コンソールでワンクリックでインターネットトラフィックに対するデフォルトの許可ポリシーを適用できます。これにより、ECS コンソールでセキュリティグループの設定を変更することなく、Cloud Firewall を通じてルールを一元管理できます。

仕組み

Cloud Firewall は、ECS アセットに関連付けられたセキュリティグループに、最も低い優先度 (100) の 4 つのルールを追加します。これらのルールは、ECS アセットのインターネットアクセスを許可します。

同じ優先度のルールの場合、ECS セキュリティグループはまず拒否ルールを照合します。したがって、優先度 100 の既存の拒否ルールがある場合、Cloud Firewall によって適用される許可ポリシーはそれらをオーバーライドしません。

注意事項

• これらのワンクリックポリシーは、関連付けられたセキュリティグループ内のすべてのリソースに影響します。適用する前に、Cloud Firewall 保護を有効にし、関連するすべてのリソースに対して適切なインバウンドアクセス制御ポリシーを設定してください。そうしないと、リソースがインターネットに公開される可能性があります。

  保護されていないリソースにこれらのポリシーを適用することはお勧めしません。同様に、これらのポリシーがすでに適用されているリソースに対して Cloud Firewall 保護を無効にすることもお勧めしません。

• Cloud Firewall サービスが有効期限切れになると、Cloud Firewall によって追加された 4 つの許可ポリシーはセキュリティグループ内でアクティブなままです。Cloud Firewall サービスを今後使用しない場合は、これら 4 つのデフォルトの許可ポリシーを手動で削除することを推奨します。手順については、「セキュリティグループルールの削除」をご参照ください。

制限事項

• セキュリティグループにデフォルトの許可ポリシーを適用する機能は、ECS パブリック IP アドレスと ECS EIP のインバウンドルールのみをサポートします。

• エンタープライズセキュリティグループでは、デフォルトの許可ポリシーの適用はサポートされていません。

許可ポリシーの適用

1. Cloud Firewall コンソールにログインします。

2. 左側のナビゲーションウィンドウで、スイッチ をクリックします。

3. インターネットボーダー タブで、[IPv4] または [IPv6] タブをクリックします。

4. パブリックアセットリストで、デフォルトポリシーを適用したい ECS アセットを見つけ、Default Allow Policies 列の Apply をクリックします。

5. (任意) 現在のセキュリティグループのルールが適用されるルールと競合する場合、まずポリシーを調整する必要があります。

   • 調整可能な競合：セキュリティグループのルールが適用されるルールと同じ優先度を持つが、プロトコルタイプ、ポート範囲、または権限付与オブジェクトが異なる場合。

     Default Allow Policies ダイアログボックスで、Quick Modify をクリックして、既存のセキュリティグループルールの優先度を上げることで競合を解決します。

   • 調整不可能な競合：セキュリティグループのルールが、適用されるルールと同じ優先度、プロトコルタイプ、ポート範囲、および権限付与オブジェクトを持つ場合。

     ECS コンソールの [セキュリティグループ] ページに移動して、競合するルールの優先度を表示および調整することをお勧めします。詳細については、「セキュリティグループルールを変更する」をご参照ください。または、チケットを起票して技術専門家にご相談いただくこともできます。

6. セキュリティグループの [Actions] 列で、Quick Apply をクリックします。適用される 4 つの許可ポリシーを確認し、OK をクリックします。

   ECS インスタンスが複数のセキュリティグループを使用している場合、変更を有効にするには、それらすべてにポリシーを適用する必要があります。

   適用される 4 つのポリシーはすべて優先度 100 で、プライベートネットワークインターフェースに適用され、ALL プロトコルを使用します。ポリシーは、ソースアドレス 192.168.0.0/16、172.16.0.0/12、10.0.0.0/8 に対する 3 つの拒否ルールと、ソースアドレス 0.0.0.0/0 に対する 1 つの許可ルールで構成されます。

セキュリティグループの許可ルールを設定した後、スイッチ > インターネットボーダー ページでデフォルトのセキュリティグループ許可ポリシーのデプロイメントステータスを確認し、ポリシーが正常にデプロイされたかどうかを判断し、デプロイメントの失敗を迅速にトラブルシューティングできます。

考えられる適用ステータスは次のとおりです：

• Applied：デフォルトの許可ポリシーが、ECS アセットに関連付けられたすべてのセキュリティグループに適用されました。

• Not Applied：デフォルトの許可ポリシーが、関連付けられたセキュリティグループの 1 つ以上に適用されていないか、設定の競合が存在します。

• -：このアセットタイプでは、デフォルトの許可ポリシーのワンクリック適用はサポートされていません。