Elastic Compute Service:セキュリティグループルール

カスタムセキュリティグループルールは、次の情報で構成されます。

• プロトコルタイプ: プロトコルタイプ。 以下のプロトコルがサポートされている: TCP、ユーザデータグラムプロトコル (UDP) 、インターネット制御メッセージプロトコルバージョン4 (ICMPv4) 、ICMPバージョン6 (ICMPv6) 、および汎用ルーティングカプセル化 (GRE) 。

• ポート範囲: 宛先ポート範囲。 TCPおよびUDPプロトコルの場合、ポート範囲を指定するときに、スラッシュ (/) を使用して開始ポート番号と終了ポート番号を区切ります。 例: 8000/9000と22/22。 他のプロトコルの場合、このパラメータは − 1 /− 1に設定される。 詳細については、「共通ポート」をご参照ください。

• 権限付与オブジェクト: インバウンドルールのトラフィックの送信元またはアウトバウンドルールのトラフィックの送信先。 権限付与オブジェクトとして次の要素を指定できます。

  • IPv4アドレス。 例: 192.168.0.100。

  • IPv4 CIDRブロック。 例: 192.168.0.0/24。

  • IPv6 アドレス 例: 2408:4321:180:1701:94c7:bc38:3bfa:9。 指定するIPv6アドレスは標準化されています。 たとえば、2408:180:0000::1は2408:180::1に変換されます。

  • IPv6 CIDRブロック。 例: 2408:4321:180:1701::/64 指定したIPv6 CIDRブロックは標準化されています。 たとえば、2408:4321:180:0000::/64は2408:4321:180::/64に変換されます。

  • セキュリティグループID。 現在のアカウントまたは他のアカウントでセキュリティグループを指定できます。 セキュリティグループルールの承認オブジェクトとしてセキュリティグループIDを指定した場合、ルールは指定されたセキュリティグループ内のECSインスタンスの内部IPアドレスを使用して、内部ネットワーク上のトラフィックを制御します。 たとえば、セキュリティグループルールの承認オブジェクトとしてECSインスタンスBを含むセキュリティグループAを指定した場合、ルールは内部ネットワークを介したECSインスタンスBの内部IPアドレスへのアクセスまたは内部IPアドレスからのアクセスを制御します。

  • プレフィックスリストID。 プレフィックスリストは、1つ以上のネットワークプレフィックス (CIDRブロック) のセットです。 セキュリティグループルールの権限付与オブジェクトとしてプレフィックスリストを指定した場合、プレフィックスリストのエントリの最大数は、セキュリティグループのルールクォータに対してカウントされます。 詳細については、「プレフィックスリストの概要」をご参照ください。

• Action: トラフィックに対して実行するアクション。 有効な値は、Allow および Deny です。 要求がセキュリティグループルールのプロトコル、ポート範囲、および承認オブジェクトの条件と一致する場合、ルールで指定したアクションが実行され、要求が許可または拒否されます。

• Priority: ルールの優先度。 設定可能な値は 1～100 です。 数字が小さいほど、優先度が高くなります。 セキュリティグループルールは優先順位でソートされ、次にアクションでソートされます。 詳細については、このトピックの「セキュリティグループルールの並べ替えポリシー」をご参照ください。

• 方向: インバウンドルールとアウトバウンドルールは、インバウンドトラフィックとアウトバウンドトラフィックを制御するためにサポートされています。

• NICタイプ: ネットワークインターフェイスコントローラー (NIC) タイプは、クラシックネットワークタイプのセキュリティグループのセキュリティグループルールでのみサポートされます。 NICタイプを指定して、パブリックまたは内部セキュリティグループルールを設定できます。 パブリックセキュリティグループのルールは、インターネット上のトラフィックを制御し、クラシックネットワークにデプロイされているECSインスタンスのパブリックNICに有効になります。 内部セキュリティグループルールは、内部ネットワーク上のトラフィックを制御し、クラシックネットワークにデプロイされているECSインスタンスの内部NICに影響を与えます。 VPCタイプのセキュリティグループのセキュリティグループルールは、インターネットと内部ネットワークの両方のトラフィックを制御します。

• ルールID: セキュリティグループルールを作成すると、システムはルールの一意のIDを生成します。 セキュリティグループルールを変更または削除するには、ルールIDを使用してルールを検索します。

ECSインスタンスを1つ以上のセキュリティグループに関連付けることができます。 システムは、インスタンスに関連付けられているセキュリティグループルールに基づいて、インスタンスのインバウンドトラフィックとアウトバウンドトラフィックを制御します。 たとえば、次の手順を実行して、ECSインスタンスに関連付けられているインバウンドセキュリティグループルールを処理し、インスタンスへのインバウンドトラフィックを許可または拒否します。

1. すべてのインバウンドセキュリティグループルールを収集し、優先順位とアクションでルールを並べ替えます。

   1. セキュリティグループルールを優先度の高い順に並べ替えます。 優先度の値が小さいルールほど優先度が高くなります。

   2. Actionパラメーターが [拒否] に設定されているセキュリティグループルールを、Actionパラメーターが [許可] に設定されているセキュリティグループルールの前にランク付けします。

2. システムは、ルールのソート順序、プロトコルタイプ、ポート範囲、および承認オブジェクトに基づいて、ECSインスタンスに関連付けられているセキュリティグループルールとリクエストを照合します。 リクエストがルールと一致する場合、ルールで指定されたアクションが実行され、リクエストが許可または拒否されます。