各 Elastic Compute Service (ECS) インスタンスには、1 つのプライマリのエラスティックネットワークインターフェース (ENI) があります。1 つ以上のセカンダリ ENI をアタッチして、単一障害点を回避したり、ネットワークトラフィックを分離したりできます。
エラスティックネットワークインターフェースの作成
コンソール
ECS コンソールで、ENI ページに移動し、Create an ENI をクリックします。
次の主要なパラメーターを設定し、その他はデフォルト値を使用します：
VPC と vSwitch：ENI が存在するネットワークを指定します。
ENI とアタッチ先のインスタンスは、同じ VPC と vSwitch 内にある必要があります。作成した VPC がドロップダウンリストに表示されない場合は、ページ上部のリソースグループフィルターを確認してください。アカウントのすべてのリソースに切り替えるか、VPC が属するリソースグループを選択してから、再度確認してください。
セキュリティグループ：1 つ以上のセキュリティグループを関連付けて、インバウンドおよびアウトバウンドトラフィックを制御します。
API
CreateNetworkInterface 操作を呼び出して、エラスティックネットワークインターフェースを作成します。
ECS インスタンスへの ENI のアタッチ
新しいインスタンスを作成する際に、既存の ENI をプライマリ ENI またはセカンダリ ENI としてアタッチできます。インスタンスは、ENI の IP アドレス、ルート、MAC アドレス、関連付けられたセキュリティグループなどのネットワーク構成を継承します。
既存のインスタンスに ENI をアタッチする場合、それはセカンダリ ENI としてのみ機能します。これにより、トラフィックの分離や IP アドレスの追加など、インスタンスのネットワーク機能が拡張されます。
インスタンスにアタッチできる ENI の数は、インスタンスファミリーによって異なります。
前提条件
ENI とインスタンスは、同じ VPC と vSwitch 内にある必要があります。
一部のインスタンスタイプでは、ENI をアタッチする前にインスタンスを停止する必要があります。実行中のインスタンスに ENI をアタッチすることは、ホットプラグ操作として知られています。
インスタンス作成時の ENI のアタッチ
コンソール
既存のセキュリティグループを選択するか、新しいセキュリティグループを作成すると、システムは自動的に新しいプライマリ ENI を作成します。これにより、既存の ENI をアタッチできなくなります。
ECS コンソールで、[カスタム起動] ページに移動します。
[ネットワークとゾーン] を選択した後、ネットワークとセキュリティグループ セクションの ENI 設定で、プライマリ ENI または セカンダリ ENI に 既存 を選択します。
また、[セキュリティグループの選択] をクリックして、既存のセキュリティグループを選択します。
API
RunInstances 操作を呼び出します。NetworkInterface.N.NetworkInterfaceId パラメーターを使用して ENI を指定します。NetworkInterface.1 として指定されたインターフェイスがプライマリ ENI となり、NetworkInterface.2 などの後続のインターフェイスがセカンダリ ENI となります。
既存のインスタンスへの ENI のアタッチ
コンソール
ECS コンソールで、[インスタンス] ページに移動し、ターゲットインスタンスの ID をクリックして詳細ページを開きます。
「インスタンスの詳細」ページで、ENI タブをクリックし、次に セカンダリ ENI のバインド をクリックします。
ターゲット ENI を選択し、OK をクリックします。
API
AttachNetworkInterface 操作を呼び出して、既存のインスタンスに ENI をアタッチします。
ゲスト OS での ENI の設定
プライマリ ENI は通常、インスタンスの作成後に自動的にアクティブ化されるため、設定は不要です。ただし、1 つ以上のセカンダリ ENI を ECS インスタンスにアタッチした後は、それらがゲストオペレーティングシステム (ゲスト OS) 内で認識され、アクティブであることを確認する必要があります。
ステップ 1：ENI のアクティベーションの確認
セカンダリ ENI がゲスト OS で正しく設定されていない場合、通信できません。次の手順に従って、ENI のステータスを確認してください。
Linux インスタンス
OS の例：Alibaba Cloud Linux 3.2
Linux インスタンスに接続します。
詳細については、「Workbench を使用した Linux インスタンスへの接続」をご参照ください。
次のコマンドを実行して、インスタンスのネットワークインターフェイス情報を表示および確認します：
ip a出力には、インスタンスのネットワークインターフェイスに関する次の情報が表示されます：
インターフェイス識別子：
eth0、eth1。この例では、インスタンスにはプライマリ ENI (eth0) とセカンダリ ENI (eth1) の 2 つの ENI があります。インターフェイスのステータス：
state UPは、インターフェイスがアクティブで使用準備が整っていることを示します。[root@i-xxx ~]# ip a 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet6 ::1/128 scope host valid_lft forever preferred_lft forever 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 link/ether 00:16:xxx d ff:ff:ff:ff:ff:ff altname enp0s5 altname ens5 inet 172.16.20.182/24 brd 172.16.20.255 scope global dynamic noprefixroute eth0 valid_lft 315359014sec preferred_lft 315359014sec inet6 fe80::xxx/64 scope link valid_lft forever preferred_lft forever 3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 link/ether 00:xxx f brd ff:ff:ff:ff:ff:ff altname enp0s7 altname ens7 inet 172.16.20.181/24 brd 172.16.20.255 scope global dynamic noprefixroute eth1 valid_lft 315359849sec preferred_lft 315359849sec inet6 fe80::xxx/64 scope link noprefixroute valid_lft forever preferred_lft forever重要次の出力に示すようにステータスが state DOWN の場合、インターフェイスの読み込みに失敗し、使用できません。Linux ゲスト OS を設定して ENI を認識させる必要があります。
root@xxx:~# ip a 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet6 ::1/128 scope host valid_lft forever preferred_lft forever 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 link/ether 00:16:3e:15:74:ee brd ff:ff:ff:ff:ff:ff inet 172.16.20.231/24 brd 172.16.20.255 scope global eth0 valid_lft forever preferred_lft forever inet6 fe80::216:3eff:fe15:74ee/64 scope link valid_lft forever preferred_lft forever 4: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000 link/ether 00:16:3e:46:31:f4 brd ff:ff:ff:ff:ff:ffプライマリプライベート IP アドレス：インターフェイスがアクティブな場合、各 ENI のプライマリプライベート IP アドレスを表示できます。詳細については、「プライマリプライベート IP アドレス」をご参照ください。
ENI にセカンダリプライベート IP アドレスを割り当てたにもかかわらず OS がそれを認識しない場合は、インターフェイスを再設定する必要があります。手順については、「ゲスト OS を設定してセカンダリプライベート IP アドレスを認識させる」をご参照ください。
次のコマンドを実行して、インターフェイスのルーティング情報を表示します：
route -n[root@ecs ~]# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.xxx.xxx 0.0.0.0 UG 100 0 0 eth0 0.0.0.0 192.168.xxx.xxx 0.0.0.0 UG 101 0 0 eth1 192.168.xxx.x 0.0.0.0 255.255.xxx.x U 100 0 0 eth0 192.168.xxx.x 0.0.0.0 255.255.xxx.x U 101 0 0 eth1 [root@ecs ~]#通常、システムはセカンダリ ENI (
eth1) に 2 つのルートを設定します：192.168.x.x 範囲の宛先を持つルート：サブネット固有のルートです。このルートにより、インスタンスは追加のルーターを経由せずに、同じサブネット内の他のホストと直接通信できます。
宛先が 0.0.0.0 のルート：デフォルトルートです。パケットの宛先がルートテーブル内のより具体的なエントリと一致しない場合、システムはデフォルトルートを使用します。その後、システムは
Ifaceで指定されたネットワークインターフェイスを介して、パケットをネクストホップのGatewayに送信します。重要複数のデフォルトルートが存在する場合、メトリック値が小さいルートがより高い優先度を持ちます。
トラフィックパスを正確に制御し、受信した ENI と同じ ENI を介してトラフィックが戻るようにする (対称ルーティング) 必要がある場合は、ENI のポリシーベースのルートを設定できます。
Ubuntu 16 などの一部の古いオペレーティングシステムでは、セカンダリ ENI のデフォルトルートが自動的に設定されない場合があります。この場合、ルートテーブルは次の出力のようになり、通信の問題が発生する可能性があります。これを解決するには、新しい OS ディストリビューションを使用するか、ルートを手動で設定します。手順については、「ENI のデフォルトルートを設定する」をご参照ください。
root@ixxxxx:~# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 172.16.20.253 0.0.0.0 UG 0 0 0 eth0 172.16.20.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0 172.16.20.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
Windows インスタンス
OS の例：Windows Server 2022
Windows インスタンスに接続します。
詳細については、「Windows への接続」をご参照ください。
[ネットワークと共有センター] を開きます。
[アダプターの設定の変更] をクリックします。
この例では、インスタンスには 2 つの ENI (プライマリ 1 つ、セカンダリ 1 つ) がアタッチされています。次のような情報が表示される場合、ENI は OS でアクティブになっており、これ以上の設定は不要です。
[ネットワーク接続] パネルには、Ethernet と Ethernet 2 の 2 つのネットワークアダプターが表示され、どちらも Red Hat VirtIO Ethernet Adapter です。
他の理由でセカンダリ ENI が認識されない場合は、次のように表示されることがあります。この場合は、「Windows インスタンスでの ENI 設定の失敗のトラブルシューティング」をご参照ください。
セカンダリ ENI (Ethernet 3 など) には、[識別されていないネットワーク] というステータスが表示されます。
ネットワークアダプターのステータスと詳細を表示します。
アダプター名をダブルクリックして、そのステータスを表示します。
以下は、Ethernet という名前のプライマリ ENI のステータスを示しています。
[イーサネットの状態] ダイアログボックスの [全般] タブで、次の主要なステータス情報を表示できます：
IPv4 接続：インターネットと表示され、正常な接続を示します。
IPv6 接続：ネットワークアクセスなしと表示されます。
速度：10.0 Gbps
詳細 をクリックして、アダプターのプロパティを表示します。
このダイアログボックスには、アダプターのプライマリプライベート IPv4 アドレス、サブネットマスク、およびデフォルトゲートウェイが表示されます。
コマンドプロンプトを開きます。
Win+R を押して [ファイル名を指定して実行] ダイアログボックスを開きます。cmd と入力し、OK をクリックします。
次のコマンドを実行して、インターフェイスのルーティング情報を表示します：
C:\Users\Administrator>route print =========================================================================== Interface List 4...xxx......Red Hat VirtIO Ethernet Adapter 10...xxx......Red Hat VirtIO Ethernet Adapter #2 1...........................Software Loopback Interface 1 =========================================================================== IPv4 Route Table =========================================================================== Active Routes: Network Destination Netmask Gateway Interface Metric 0.0.0.0 0.0.0.0 172.16.20.253 172.16.20.242 15 0.0.0.0 0.0.0.0 172.16.12.253 172.16.12.76 15 127.0.0.0 255.0.0.0 On-link 127.0.0.1 331 127.0.0.1 255.255.255.255 On-link 127.0.0.1 331 127.255.255.255 255.255.255.255 On-link 127.0.0.1 3312 つのデフォルトルート (宛先 0.0.0.0) は、それぞれゲートウェイ 172.16.20.253 (インターフェイス 172.16.20.242、メトリック 15) とゲートウェイ 172.16.12.253 (インターフェイス 172.16.12.76、メトリック 15) を指しており、このインスタンスがデュアル NIC とデュアルゲートウェイで構成されていることを示しています。
ステップ 2：Linux での ENI の設定
ENI がアクティブでないことを確認した場合は、次のいずれかの方法を使用してゲスト OS 内で設定します。
ほとんどの最新の Windows オペレーティングシステムは ENI を自動的に認識します。ENI がアクティブでない場合は、「Windows インスタンスでの ENI 設定の失敗のトラブルシューティング」をご参照ください。
方法 1：multi-nic-util による自動設定
Alibaba Cloud Linux 3、CentOS 8 以降のバージョンでは、デフォルトで NetworkManager が使用され、セカンダリ ENI が自動的に有効になります。これらのオペレーティングシステムでは、このツールは不要です。
`multi-nic-util` ツールは、Alibaba Cloud Linux 2、CentOS 6 (6.8 以降)、CentOS 7 (7.3 以降)、および Red Hat に適しています。
Alibaba Cloud は、Docker やその他のコンテナ化された環境で `multi-nic-util` ツールを使用しないことを強く推奨します。
`multi-nic-util` ツールを使用すると、ECS インスタンスの既存のネットワーク設定が上書きされます。このリスクにご注意ください。
上記の理由でこのツールを使用できない場合は、「方法 2：ネットワーク設定ファイルを使用した手動設定」をご参照ください。
`multi-nic-util` ツールをダウンロードしてインストールします。インターネットアクセスが必要です。
wget https://image-offline.oss-cn-hangzhou.aliyuncs.com/multi-nic-util/multi-nic-util-0.6.tgz && \ tar -zxvf multi-nic-util-0.6.tgz && \ cd multi-nic-util-0.6 && \ bash install.shENI サービスを再起動します。
sudo systemctl restart eni.serviceステップ 1 に戻り、ENI のステータスを再度確認して、アクティブであることを確認します。
方法 2：手動設定
ネットワーク設定ファイルと管理ツールは、Linux ディストリビューションとバージョンによって異なります。
編集する前に、元のネットワーク設定ファイルをバックアップしてください。
ネットワーク設定ファイルを変更した後に Workbench を使用してインスタンスに接続できない場合は、VNC を使用してインスタンスに接続し、変更内容を確認してファイルを修復できます。
この例では、ネットワークインターフェイスはデフォルトで動的ホスト構成プロトコル (DHCP) を使用してプライマリプライベート IP アドレスを取得するように設定されています。静的 IP アドレスを設定するには、「ゲスト OS を設定してセカンダリプライベート IP アドレスを認識させる」をご参照ください。
設定ファイル内の IP アドレス、MAC アドレス、ゲートウェイ、およびその他の情報が実際の設定と一致していることを確認してください。ネットワーク設定が正しくないと、インスタンスの通信が失敗する可能性があります。
ENI をアタッチまたはデタッチした後は、ネットワーク設定ファイルがこれらの変更を反映していることを確認してください。これにより、ネットワーク接続の問題や設定の競合を防ぐことができます。
ECS インスタンスに接続します。
詳細については、「Workbench を使用した Linux インスタンスへの接続」をご参照ください。
お使いの Linux ディストリビューションとバージョンに基づいて、ENI のネットワーク設定ファイルを作成および編集します。
プライマリ ENI の設定ファイルは通常、自動的に生成されます。以下の例では、セカンダリ ENI の設定に焦点を当てています。
RHEL/CentOS ファミリー
対象オペレーティングシステム：Alibaba Cloud Linux 2/3、CentOS 6/7/8、Red Hat 6/7/8/9、Anolis 7/8、Fedora 33/34/35
ネットワークインターフェイス設定ファイル：/etc/sysconfig/network-scripts/ifcfg-*
各ネットワークインターフェイスには、
ifcfg-eth0、ifcfg-eth1、ifcfg-eth2などの対応する設定ファイルがあります。設定例：次のコマンドを実行して、インスタンスにアタッチされているセカンダリ ENI (
eth1) の設定ファイルを作成および編集します。sudo vi /etc/sysconfig/network-scripts/ifcfg-eth1DEVICE=eth1 TYPE=Ethernet BOOTPROTO=dhcp ONBOOT=yes DEFROUTE=noDEVICE：eth1やeth2などのネットワークインターフェイス識別子を指定します。TYPE：ネットワークインターフェイスのタイプです。Ethernetはイーサネットインターフェイスを指定します。BOOTPROTO：IP アドレスの取得方法を設定します。dhcpに設定すると、インターフェイスは DHCP サーバーから自動的に IP アドレスを取得します。staticに変更した場合は、静的 IP アドレス、サブネットマスク、およびその他の情報を手動で指定する必要があります。ONBOOT：システム起動時にこのネットワークインターフェイスをアクティブにするかどうかを制御します。yesの値は、インターフェイスが自動的に有効になることを意味します。noの値は、手動で起動する必要があることを意味します。DEFROUTE：このインターフェイスをデフォルトルートの出口として設定するかどうかを指定します。プライマリ ENI (
eth0) の場合、このパラメーターを設定する必要はありません。システムは通常、プライマリ ENI に対して最も優先度の高いデフォルトルートを生成します。セカンダリ ENI をアクティブにする際にインスタンスのアクティブなデフォルトルートを変更しないようにするには、セカンダリ ENI をデフォルトルートとして設定しないでください。設定すると、
eth0を置き換えてデフォルトルートとなり、プライマリ ENI の通信障害を引き起こす可能性があります。複数 ENI 環境では、ENI のポリシーベースのルートを設定して、トラフィック転送パスを制御できます。
Ubuntu 18 以降
Netplan は、Ubuntu 18.04 LTS 以降のデフォルトのネットワーク設定ユーティリティです。
対象オペレーティングシステム：Ubuntu 18/20/22/24
ネットワークインターフェイス設定ファイル：/etc/netplan/*.yaml
システムは /etc/netplan ディレクトリ内の YAML ファイルを認識します。各ネットワークインターフェイスに個別の YAML ファイルを設定できます。
デフォルトでは、cloud-init はシステム起動時にプライマリ ENI のネットワーク設定ファイル 50-cloud-init.yaml を自動的に生成します。
設定例：次のコマンドを実行して、インスタンスにアタッチされているセカンダリ ENI (
eth1) の設定ファイルを作成および編集します。sudo vi /etc/netplan/eth1-netcfg.yaml説明プライマリ ENI の設定ファイルはすでに存在します。正しい YAML 形式を確保するために、
cp 50-cloud-init.yaml eth1-netcfg.yamlを実行してコピーし、セカンダリ ENI 用のファイルを生成してから、次の例に示すように変更できます。network: version: 2 ethernets: eth1: dhcp4: true match: macaddress: 00:16:3e:xx:xx:xx set-name: eth1dhcp4：このインターフェイスで IPv4 の DHCP を有効にするかどうかを指定します。有効な値はtrueとfalseです。match：macaddressなどのプロパティによってネットワークインターフェイスを照合します。ENI の MAC アドレスは、コンソールで表示するか、API 操作を呼び出すことで表示できます。
Debian および初期の Ubuntu
対象オペレーティングシステム：Debian、および Ubuntu 14/16 や Debian 8/9/10 などの初期バージョンの Ubuntu
ネットワークインターフェイス設定ファイル：/etc/network/interfaces
このファイルを編集して、IP アドレス、サブネットマスク、ゲートウェイ、DNS などのネットワークインターフェイス設定を手動で設定し、静的 IP や DHCP などのモードを設定します。
この方法は、新しいバージョンの Ubuntu やその他のディストリビューションでは、
systemd-networkdや Netplan に徐々に置き換えられています。
主な設定項目：ファイルには、インターフェイスタイプ、IP アドレス、サブネットマスク、ゲートウェイ、DNS 情報の設定が含まれています。
設定例：次のコマンドを実行して、ネットワーク設定ファイルを編集します。
sudo vi /etc/network/interfaces説明プライマリ ENI (
eth0) とセカンダリ ENI (eth1) の設定は同じファイルにあります。プライマリ ENI の設定を省略しないように注意してください。auto lo iface lo inet loopback # Primary ENI auto eth0 iface eth0 inet dhcp # Secondary ENI auto eth1 iface eth1 inet dhcpauto <interface>：システム起動時にネットワークインターフェイスを自動的にアクティブにします。iface <interface> inet <method>：ネットワークインターフェイスの設定方法を定義します。inet：IPv4 設定を定義していることを指定します。method：IP アドレスの取得方法を設定します。dhcpに設定すると、インターフェイスは DHCP を使用して IP アドレスやその他のネットワークパラメーターを自動的に取得します。staticに変更した場合は、静的 IP アドレス、サブネットマスク、およびその他の情報を手動で指定する必要があります。
SLES ファミリー
対象オペレーティングシステム：SUSE Linux 11/12/15 および OpenSUSE 15
ネットワークインターフェイス設定ファイル：/etc/sysconfig/network/ifcfg-*
各ネットワークインターフェイスには、
ifcfg-eth0、ifcfg-eth1、ifcfg-eth2などの対応する設定ファイルがあります。設定例：次のコマンドを実行して、インスタンスにアタッチされているセカンダリ ENI (
eth1) の設定ファイルを作成および編集します。sudo vi /etc/sysconfig/network/ifcfg-eth1BOOTPROTO='dhcp' STARTMODE='auto'BOOTPROTO：IP アドレスの取得方法を指定します。dhcpは、インターフェイスが DHCP サーバーから IP アドレスやその他のネットワーク設定を自動的に取得することを意味します。STARTMODE：システム起動時にネットワークインターフェイスがどのように処理されるかを定義します。'auto'は、起動時にインターフェイスが利用可能であれば、システムがインターフェイスをアクティブにしようとすることを意味します。
適切なコマンドを実行して、ネットワークサービスを再起動します。
ステップ 1：ENI のアクティベーションの確認 に戻り、ENI がアクティブであることを確認します。
プライベート IP アドレスの割り当て
VPC および vSwitch 内の ENI には、vSwitch の CIDR ブロックからプライマリプライベート IPv4 アドレスが自動的に割り当てられます。ECS インスタンスは、このプライベート IP アドレスを内部ネットワーク通信に使用します。
複数のアプリケーションのホスティング、フェールオーバー、負荷分散などのユースケースで複数の IP アドレスが必要な場合は、ENI に複数のプライベート IP アドレスを割り当てることができます。詳細については、「ENI へのセカンダリプライベート IP アドレスの割り当て」をご参照ください。
パブリック IP アドレスのバインド
単一プライマリ ENI のシナリオ：インスタンスのプライマリ ENI に固定パブリック IP アドレスを割り当てて、インターネット通信を行うことができます。詳細については、「固定パブリック IP アドレス」をご参照ください。
複数 ENI または柔軟な管理シナリオ：Elastic IP (EIP) を ENI に関連付けて、インターネット通信を行うことができます。EIP は、必要に応じて関連付けたり関連付けを解除したりできるため、固定パブリック IP アドレスよりも柔軟です。詳細については、「ENI への EIP の関連付け」をご参照ください。
また、1 つ以上の ENI を ECS インスタンスにアタッチし、それらの ENI 上の複数のプライベート IP アドレスに EIP を関連付けることもできます。この設定により、ECS インスタンスは複数のパブリック IP アドレスを持つことができます。手順については、「通常モードで ECS インスタンスに複数の EIP を関連付ける」をご参照ください。
重要EIP をセカンダリ ENI に関連付けた後、ENI がインスタンスにアタッチされ、ゲスト OS でアクティブになっていることを確認する必要があります。そうしないと、EIP は正しく機能しません。詳細については、「ゲスト OS での ENI の設定」をご参照ください。
セカンダリ ENI を EIP または NAT Gateway と一緒に使用する場合、アウトバウンドトラフィックがパブリック IP アドレスで設定された ENI から出力されず、通信障害が発生する可能性があります。これを解決するには、ポリシーベースのルートを設定して、受信した ENI と同じ ENI を介してトラフィックが戻るように強制し、対称ルーティングを確保します。詳細については、「ENI のポリシーベースのルートを設定する」をご参照ください。
ENI とルートが正しく設定された後でもパブリック IP アドレスに ping できない場合は、セキュリティグループとファイアウォールの設定を確認してください。詳細については、「ECS インスタンスのパブリック IP アドレスに ping できない問題のトラブルシューティング」をご参照ください。
ENI とセキュリティグループの関連付け
ENI をセキュリティグループに関連付けることで、ネットワーク層のセキュリティ制御が提供されます。
ECS インスタンスに関連付けられたセキュリティグループのルールは、インスタンスのプライマリ ENI に適用されます。プライマリ ENI は常にインスタンスと同じセキュリティグループにあり、そのセキュリティグループの関連付けを個別には変更できません。プライマリ ENI のセキュリティグループを変更するには、インスタンスのセキュリティグループを変更する必要があります。詳細については、「インスタンスをセキュリティグループに移動する」をご参照ください。
ECS インスタンスにアタッチされたセカンダリ ENI は、同じ VPC とゾーン内の任意のセキュリティグループに関連付けることができます。このセキュリティグループは、インスタンスのセキュリティグループとは異なる場合があります。セキュリティグループは ENI の作成時に指定するか、既存の ENI のセキュリティグループを変更することができます。
ENI に複数のセカンダリ IPv4 または IPv6 アドレスを割り当てる場合、関連付けられたセキュリティグループのルールはこれらのアドレスも管理します。送信元 IP アドレス、アプリケーション層プロトコル、ポートなどの基準に基づいて正確なセキュリティグループルールを設定し、各 ENI へのトラフィックを制御できます。詳細については、「セキュリティグループルールの管理」をご参照ください。