Elastic Compute Service:セキュリティグループ

この例では、2 つのセキュリティグループルールを設定する方法を示します。1 つは、許可された IP アドレスからのみインスタンスのリモート管理を許可するルールで、もう 1 つは、インスタンスがパブリックネットワーク上の高リスクサイトにアクセスするのをブロックするルールです。

• インバウンドルール：特定の IP アドレス (121.XX.XX.XX) からの SSH (ポート 22) 経由でのインスタンスへのアクセスを許可します。

• アウトバウンドルール：インスタンスが既知の高リスク IP アドレス (XX.XX.XX.XX) にアクセスするのをブロックします。

セキュリティグループの設定

1. インスタンス購入ページへの移動：ECS コンソール - カスタム起動ページで、インスタンスの構成を選択します。

2. セキュリティグループの作成: ネットワークとセキュリティグループ セクションで、基本セキュリティグループまたはエンタープライズセキュリティグループを作成し、名前を指定します。

3. 一般的なルールのクイック設定：インスタンスを購入する際、コンソールには一般的なルールのリストが表示されます。これらのルールを選択すると、すべての IP アドレス (0.0.0.0/0) からのトラフィックが、インスタンスの特定のポートまたはプロトコルにアクセスできるようになります。

インスタンス作成時に詳細なセキュリティグループルールを設定することはできません。インスタンス作成後に設定できます。クイック設定時に SSH (22) や RDP (3389) などのリモート管理ポートを選択した場合は、インスタンス作成後にセキュリティグループルールを変更し、信頼できる IP アドレスからのみアクセスを許可することを推奨します。

4. 作成後のセキュリティグループルールの設定：インスタンスを購入した後、「セキュリティグループルール」を参照してセキュリティグループルールを設定します。

インスタンスへのアクセス制限やデータベースのセキュリティポリシーの実装など、さまざまなビジネスシナリオにおけるセキュリティグループルールの設定例については、「セキュリティグループの適用とユースケース」をご参照ください。

既存のインスタンスへのセキュリティグループの関連付け

セキュリティグループを ECS インスタンスに関連付けると、そのセキュリティグループはインスタンスのプライマリネットワークインターフェースに適用されます。

1. セキュリティグループを作成します。

   新しいセキュリティグループを作成する必要がない場合は、直接既存のインスタンスにセキュリティグループを関連付ける

   コンソール

   1. ECS コンソール - セキュリティグループ ページに移動し、セキュリティグループの作成 をクリックします。

   2. セキュリティグループ名を設定し、Virtual Private Cloud を指定します。

   3. セキュリティグループタイプとして、基本セキュリティグループまたはアドバンストセキュリティグループを選択します。

   4. セキュリティグループルールを設定します。

      ルールを追加 をクリックします。また、既存のルールを 変更 または 削除 することもできます。セキュリティグループのルールはステートフルです。システムが対応するアウトバウンドの応答トラフィックを自動的に許可するため、インバウンドルールを設定するだけで済みます。一般的なポートと推奨ソースについては、次の表をご参照ください。完全な例については、「セキュリティグループのアプリケーションとユースケース」をご参照ください。

      一般的なポートルールの例

      ポート	プロトコル	目的	ソース	リファレンス
      22	TCP	SSH リモート接続 (Linux)	ご利用のオフィスネットワークまたは固定のパブリック IP アドレス。0.0.0.0/0 の長期使用は推奨されません。	ユースケース 2
      3389	TCP	RDP リモートデスクトップ (Windows)	ご利用のオフィスネットワークまたは固定のパブリック IP アドレス。0.0.0.0/0 の長期使用は推奨されません。	ユースケース 2
      80	TCP	HTTP	公開ウェブサイトには 0.0.0.0/0 を使用できます。	ユースケース 1
      443	TCP	HTTPS	公開ウェブサイトには 0.0.0.0/0 を使用できます。	ユースケース 1
      8888	TCP	BT-Panel などの管理パネルに使用されます。実際のポートはパネルの構成によって異なります。	管理者 IP アドレスからのトラフィックのみを許可します。パネルのインストール時に指定されたポートを開きます。	-
      3306 またはその他のポート	TCP	VPC 内のデータベースへのアプリケーションアクセス	データベースのセキュリティグループのインバウンドルールで、送信元セキュリティグループを承認します。このポートを公開しないでください。	ユースケース 3
      サービスポート	TCP	異なるセキュリティグループ間の通信 (例：ポート 8080 と 3306)	宛先セキュリティグループのインバウンドルールで、送信元セキュリティグループ ID を承認します。	ユースケース 5

      警告

      • 最小権限の原則：ポート 80/443 は必要に応じて公開できます。SSH (ポート 22)、RDP (ポート 3389)、および管理パネルポートへのアクセスは、信頼できる IP アドレスに制限する必要があります。0.0.0.0/0 または ::/0 の使用は避けてください。

      • ルールの優先度：同じ優先度のルールでは、拒否ルールが優先されます。セキュリティグループは、デフォルトで特定の種類のネットワークトラフィックを許可します。

      • 変更管理：本番環境でセキュリティグループを直接変更することは避けてください。まずセキュリティグループのクローンを作成し、テスト環境で検証してから、本番環境のルールを調整することを推奨します。

   5. 作成 をクリックします。

      ルールが設定されていない新しい基本セキュリティグループは、デフォルトの動作として、すべてのアウトバウンドトラフィックを許可し、同じセキュリティグループ内の他の ECS インスタンスからのインバウンドトラフィックも許可します。その他すべてのインバウンドトラフィックは拒否されます。

   API

   CreateSecurityGroup を呼び出してセキュリティグループを作成します。

   セキュリティグループを作成した後、以下の API オペレーションを呼び出してセキュリティグループルールを管理します。

   • AuthorizeSecurityGroup を呼び出してインバウンドルールを追加します。

   • AuthorizeSecurityGroupEgress を呼び出してアウトバウンドルールを追加します。

   • ModifySecurityGroupRule を呼び出してインバウンドルールを変更します。

   • ModifySecurityGroupEgressRule を呼び出してアウトバウンドルールを変更します。

   • RevokeSecurityGroup を呼び出してインバウンドルールを取り消します。

   • RevokeSecurityGroupEgress を呼び出してアウトバウンドルールを取り消します。

2. 既存のインスタンスにセキュリティグループを関連付けます。

   コンソール

   1. ECS コンソール - インスタンスページで、インスタンスの ID をクリックしてインスタンス詳細ページを開きます。

   2. 「インスタンス詳細」ページで セキュリティグループ タブに移動し、「セキュリティグループ」リストで セキュリティグループの変更 をクリックして、セキュリティグループを追加または削除します。複数のセキュリティグループが関連付けられている場合、ルールは優先度に従って結合され、適用されます。

   API

   • ModifyInstanceAttribute を呼び出して、複数のセキュリティグループを ECS インスタンスに関連付けます。

   • JoinSecurityGroup を呼び出して、ECS インスタンスを指定されたセキュリティグループに追加します。

   • LeaveSecurityGroup を呼び出して、ECS インスタンスを指定されたセキュリティグループから削除します。

セカンダリ ENI とセキュリティグループの関連付け

セキュリティグループは、ECS インスタンスの Elastic Network Interface (ENI) に適用されます。インスタンスに複数の ENI がある場合、それぞれに異なるセキュリティグループを関連付け、階層的なトラフィック制御とサービス分離のために異なるルールを設定できます。

グループ内ネットワーク通信

デフォルトでは、同じ基本セキュリティグループ内の ECS インスタンスは、内部ネットワークを介して相互に通信できます。セキュリティを向上させるために、グループ内接続ポリシーを内部隔離に変更して、内部ネットワーク通信を防ぐことができます。

エンタープライズセキュリティグループは、内部接続ポリシーの変更をサポートしていません。

• インスタンスが複数のセキュリティグループに関連付けられている場合、少なくとも 1 つのセキュリティグループのグループ内接続ポリシーで通信が許可されていれば、内部ネットワーク通信は許可されます。

• セキュリティグループのグループ内接続ポリシーが内部隔離に設定されている場合でも、セキュリティグループルールを設定してインスタンス間の通信を許可することができます。

セキュリティグループ間のネットワークアクセス

ルールの送信元として別のセキュリティグループを設定すると、送信元セキュリティグループ内のインスタンスは、内部ネットワークを介して現在のセキュリティグループ内のインスタンスにアクセスできます。たとえば、セキュリティグループ A にインバウンドルールを追加し、送信元としてセキュリティグループ B を設定すると、セキュリティグループ B 内のインスタンスはセキュリティグループ A 内のインスタンスにアクセスできます。

エンタープライズセキュリティグループのルールでは、送信元として別のセキュリティグループを指定することはサポートされていません。

その他の操作

本番運用時の注意点

• セキュリティグループの計画

  • 単一責任：Web、データベース、キャッシュ層など、異なるワークロードには別々のセキュリティグループを使用します。

  • 環境分離：本番環境とテスト環境のセキュリティグループは分離してください。

  • 命名規則：environment-application-purpose-sg のような一貫した形式を使用します。例：prod-mysql-db-sg。

• ルールの設定

  • 最小権限の原則：必要なポートのみを必要な送信元に公開します。SSH (22) や RDP (3389) などの管理ポートを 0.0.0.0/0 に公開することは避けてください。アクセスは常に信頼できる固定 IP アドレスに制限する必要があります。

  • デフォルト拒否：デフォルトですべてのインバウンドトラフィックを拒否します。必要な場合にのみ、特定の送信元から特定のポートへのアクセスを許可するインバウンドルールを追加します。

  • ルールの優先度競合：インスタンスが複数のセキュリティグループに関連付けられている場合、優先度の高い拒否ルールが優先度の低い許可ルールを上書きします。ネットワーク接続の問題をトラブルシューティングするには、関連するすべてのセキュリティグループを確認してください。

• 変更管理

  • 本番環境への直接変更を避ける：本番環境でセキュリティグループを変更することは高リスクな操作です。まず、セキュリティグループのクローンを作成し、テスト環境で変更を検証します。インスタンスのトラフィックに影響がないことを確認した後、本番環境のセキュリティグループのルールを変更します。

課金

セキュリティグループは無料です。

制限事項