デフォルトでは、同一 VPC 内で異なるセキュリティグループに属する Elastic Compute Service (ECS) インスタンスは分離されており、内部ネットワーク経由で相互に通信できません。社内向け Web サイトの構築、アプリケーションサービスのデプロイ、データベースクラスターの管理など、業務要件に応じてセキュリティグループルールを設定することで、この通信を有効にできます。このトピックでは、そのための 4 つの方法について説明します。
前提条件
通信が必要な ECS インスタンスは、同一 VPC 内にある必要があります。インスタンスが異なる VPC にある場合は、セキュリティグループルールを設定する前に、Cloud Enterprise Network または VPC ピアリング接続を使用してネットワークを接続する必要があります。
方法 2 と方法 3 は、同一グループ内のインスタンスがデフォルトで相互に通信できるというベーシックセキュリティグループのデフォルトの動作に依存します。デフォルトでインスタンスが分離されるエンタープライズセキュリティグループを使用している場合は、方法 1 または方法 4 を使用する必要があります。
方法 1：単一 IP アドレスによる許可
ユースケース
この方法は、同一 VPC 内の少数の ECS インスタンスが内部ネットワーク経由で通信する必要があるシナリオに適しています。
長所と短所
長所：ルールが明確で理解しやすいです。
短所：セキュリティグループあたり 200 ルールの上限に達する可能性があります。保守作業の負荷が高くなります。
操作手順
通信が必要なインスタンスを見つけ、インスタンス ID をクリックします。
インスタンスの詳細 ページで、セキュリティグループ タブをクリックします。
設定するセキュリティグループを見つけ、操作 列で または ルール設定 をクリックします。
受信 タブをクリックします。
ルールを追加 をクリックし、次の設定でセキュリティグループルールを追加します。
[アクション]：許可。
[優先度]：必要に応じて設定します。デフォルト：1。
[プロトコルタイプ]：必要に応じて選択します。
[ポート範囲]：必要に応じて設定します。
[アクセス元]：送信元インスタンスのプライベート IP アドレスを a.b.c.d/32 の形式で入力します。ネットワークセグメント内のすべてのインスタンスを許可するには、192.168.1.0/24 などの CIDR 表記を使用します。
保存 をクリックします。
方法 2：同一セキュリティグループへのインスタンス追加
ユースケース
すべてのインスタンスが 1 つのベーシックセキュリティグループを共有できるシンプルなアプリケーションアーキテクチャに適しています。
同一ベーシックセキュリティグループ内のインスタンスは、追加のルールを必要とせず、デフォルトで相互に通信できます。この動作はエンタープライズセキュリティグループには適用されません。エンタープライズセキュリティグループの場合は、方法 1 または方法 4 を使用してください。
長所と短所
長所：ルールが明確でレビューしやすいです。
短所：シンプルなアーキテクチャでのみ有効です。ネットワークアーキテクチャが変わった場合は、許可方法を更新する必要があります。
操作手順
方法 3：通信専用セキュリティグループの関連付け
ユースケース
内部通信のために専用のセキュリティグループが必要な多層アプリケーションアーキテクチャに適しています。
長所と短所
長所：複雑なネットワークアーキテクチャでも利用できます。
短所：インスタンスが複数のセキュリティグループに属するため、ルールが読みにくくなります。
操作手順
同一 VPC 内に、新しいベーシックセキュリティグループ (例："shared-comm-sg") を作成します。この新しいグループにはルールは不要です。詳細については、「セキュリティグループを作成する」をご参照ください。
内部ネットワーク通信が必要なすべてのインスタンスに、この新しい共有セキュリティグループを関連付けます。これにより、同一ベーシックセキュリティグループ内のインスタンス間のトラフィックを許可するデフォルトのルールが適用され、インスタンス間で通信できるようになります。詳細については、「インスタンスにセキュリティグループを関連付ける (プライマリネットワークインターフェイス)」をご参照ください。
方法 4：セキュリティグループ間の許可
ユースケース
セキュリティグループ ID によってインスタンス間の通信を許可する多層アプリケーションアーキテクチャに適しています。
長所と短所
長所：複雑なネットワークアーキテクチャでも利用できます。
短所：インスタンスが複数のセキュリティグループに属するため、ルールが読みにくくなります。
操作手順
通信が必要なインスタンスを見つけ、インスタンス ID をクリックします。
インスタンスの詳細 ページで、セキュリティグループ タブをクリックします。
設定するセキュリティグループを見つけ、操作 列で または ルール設定 をクリックします。
受信 タブをクリックします。
ルールを追加 をクリックし、次の設定でセキュリティグループルールを追加します。
[アクション]：許可。
[優先度]：必要に応じて設定します。デフォルト：1。
[プロトコルタイプ]：必要に応じて選択します。
[ポート範囲]：必要に応じて設定します。
[権限付与オブジェクト]：
同一アカウント内：送信元セキュリティグループ ID を入力します。
クロスアカウント：送信元アカウント ID とセキュリティグループ ID を AccountID/SecurityGroupID 形式で入力します。
保存 をクリックします。