Elastic Compute Service:セキュリティグループ

Console

1. ECS コンソール - セキュリティグループページに移動し、セキュリティグループの作成 をクリックします。

2. セキュリティグループ名を設定し、Virtual Private Cloudを指定します。

3. セキュリティグループの種類として、基本セキュリティグループ または アドバンストセキュリティグループ を選択します。

4. セキュリティグループルールを設定します。 セキュリティグループルールはステートフルです。 システムが対応するアウトバウンドの応答トラフィックを自動的に許可するため、インバウンドルールのみを設定する必要があります。 一般的なポートと推奨ソースについては、次の表をご参照ください。 完全な例については、「セキュリティグループの適用とユースケース」をご参照ください。

   一般的なポートルールの例

   ポート	プロトコル	目的	ソース	参照
   22	TCP	SSH リモート接続 (Linux)	オフィスのネットワークまたは固定のパブリック IP アドレス。 0.0.0.0/0 の長期使用は 推奨されません。	ユースケース 2
   3389	TCP	RDP リモートデスクトップ (Windows)	オフィスのネットワークまたは固定のパブリック IP アドレス。 0.0.0.0/0 の長期使用は 推奨されません。	ユースケース 2
   80	TCP	HTTP	公開ウェブサイトには 0.0.0.0/0 を使用できます。	ユースケース 1
   443	TCP	HTTPS	公開ウェブサイトには 0.0.0.0/0 を使用できます。	ユースケース 1
   8888	TCP	BT-Panel などの管理パネルに使用されます。 実際のポートはパネルの設定によって異なります。	管理者 IP アドレスからのトラフィックのみを許可します。 パネルのインストール時に指定されたポートを開いてください。	-
   3306 またはその他のポート	TCP	VPC 内のデータベースへのアプリケーションアクセス	データベースのセキュリティグループのインバウンドルールで、[Source Security Group] を承認してください。 このポートをインターネットに公開しないでください。	ユースケース 3
   サービスポート	TCP	異なるセキュリティグループ間の通信 (例：ポート 8080 と 3306)	受信側セキュリティグループのインバウンドルールで、[Source Security Group ID] を承認してください。	ユースケース 5

   セキュリティグループの詳細ページで、ルールの方向を選択し、ルールを追加 をクリックしてください。 アクセスルール セクションで既存のルールを 変更 または 削除 することもできます。

   警告

   • 最小権限の原則： ポート 80/443 は必要に応じてインターネットに公開できます。 SSH (ポート 22)、RDP (ポート 3389)、および管理パネル用ポートへのアクセスは、信頼できる IP アドレスに制限する必要があります。 0.0.0.0/0 または ::/0 の使用は避けてください。

   • ルールの優先度： 同じ優先度のルールの場合、拒否ルールが優先されます。 セキュリティグループは、デフォルトで特定の種類のネットワークトラフィックを許可します。

   • 変更管理： 本番環境でセキュリティグループを直接変更することは避けてください。 まずセキュリティグループをクローンし、テスト環境で検証してから、本番環境のルールを調整することを推奨します。

5. 作成 をクリックしてください。

API

CreateSecurityGroup API を呼び出して、セキュリティグループを作成してください。

セキュリティグループを作成した後、次の API を呼び出して、そのセキュリティグループルールを管理してください。

• AuthorizeSecurityGroup API を呼び出して、インバウンドルールを追加してください。

• AuthorizeSecurityGroupEgress API を呼び出して、アウトバウンドルールを追加してください。

• ModifySecurityGroupRule API を呼び出して、インバウンドルールを変更してください。

• ModifySecurityGroupEgressRule API を呼び出して、アウトバウンドルールを変更してください。

• RevokeSecurityGroup API を呼び出して、インバウンドルールを取り消してください。

• RevokeSecurityGroupEgress API を呼び出して、アウトバウンドルールを取り消してください。

コンソール

API

• ModifyInstanceAttribute API を呼び出して、複数のセキュリティグループを ECS インスタンスに関連付けます。

• JoinSecurityGroup API を呼び出して、ECS インスタンスを指定したセキュリティグループに追加します。

• LeaveSecurityGroup API を呼び出して、ECS インスタンスを指定したセキュリティグループから削除します。

コンソール

1. ECS コンソール - ネットワークインターフェイスページに移動し、対象のセカンダリ Elastic Network Interface の ID をクリックして詳細ページを開きます。

2. セキュリティグループの変更 をクリックし、関連付けるセキュリティグループを 1 つ以上選択してから、OK をクリックします。

API

• JoinSecurityGroup API を呼び出して、Elastic Network Interface を指定のセキュリティグループに追加します。

• LeaveSecurityGroup API を呼び出して、Elastic Network Interface を指定のセキュリティグループから削除します。

• ModifyNetworkInterfaceAttribute API を呼び出して、複数のセキュリティグループを Elastic Network Interface に関連付けます。

コンソール

1. ECS コンソール - セキュリティグループ ページに移動し、対象のセキュリティグループの ID をクリックして詳細ページを開きます。

2. セキュリティグループの詳細 ページの 基本情報 セクションで、グループイントラネット接続ポリシーの変更 をクリックします。

3. セキュリティグループのグループ内接続ポリシーが Internal Isolation に設定されていることを確認します。

API

基本セキュリティグループのグループ内接続ポリシーを変更するには、ModifySecurityGroupPolicy を呼び出します。

コンソール

1. ECS コンソール - セキュリティグループページに移動し、セキュリティグループ ID をクリックして詳細ページを開きます。

2. 対象のセキュリティグループの詳細 ページで、ルールの方向を選択し、ルールを追加 をクリックします。

3. セキュリティグループルールの作成 ページで、送信元 を セキュリティグループ または クロスアカウントのセキュリティグループ に設定します。

API

• AuthorizeSecurityGroup を呼び出し、インバウンドルールで SourceGroupId パラメーターを設定して、ソースセキュリティグループを指定します。

• AuthorizeSecurityGroupEgress を呼び出し、アウトバウンドルールで DestGroupId パラメーターを設定して、送信先セキュリティグループを指定します。