Elastic Compute Service:プレフィックスリストを使用してセキュリティグループルールの管理を簡素化する

ユースケース

リソースセキュリティを確保するために、クラウド内のリソースに対して複数のセキュリティドメインを計画しているとします。各セキュリティドメインはセキュリティグループに対応しています。クラウド外のオフィスネットワークなどのパブリックリソースは、複数のセキュリティドメインのリソースにアクセスする必要があります。このパブリックリソースには、複数の可変 CIDR ブロックがあります。

プレフィックスリスト機能を使用しない場合、パブリックリソースからのアクセスを許可するために、複数のセキュリティグループでパブリックリソースの CIDR ブロックを権限付与オブジェクトとして参照する複数のルールを設定する必要があります。設定されたセキュリティグループルールは、権限付与オブジェクトを除いて同じ属性を共有する必要があります。パブリックリソースの CIDR ブロックが変更された場合は、セキュリティグループの対応するルールを変更する必要があります。セキュリティグループと CIDR ブロックの数が多いほど、セキュリティグループルールの管理が難しくなります。

プレフィックスリスト機能を使用する場合は、パブリックリソースの CIDR ブロックからプレフィックスリストを作成し、複数のセキュリティグループでプレフィックスリストを権限付与オブジェクトとして参照するルールを設定して、パブリックリソースからのアクセスを許可できます。パブリックリソースの CIDR ブロックが変更された場合は、プレフィックスリストの対応するエントリを変更するだけで、関連付けられたセキュリティグループルールも更新されます。これにより、セキュリティグループルールを 1 つずつ変更する必要がなくなり、セキュリティグループルールの管理が簡素化されます。

複数のアリババクラウドリージョンにリソースがある場合は、クローン機能を使用してリージョン間でプレフィックスリストをクローンできます。

手順

1. ECS コンソール にログインします。

2. プレフィックスリストを作成します。

   1. 左側のナビゲーションウィンドウで、[ネットワークとセキュリティ] > > [プレフィックスリスト] を選択します。

   2. 上部ナビゲーションバーの左上隅で、リージョンを選択します。

   3. [プレフィックスリストの作成] をクリックします。

   4. [プレフィックスリストの作成] ダイアログボックスで、パラメータを設定し、[OK] をクリックします。

      この例では、2 つの IPv4 エントリが追加されます。 [プレフィックスリストの作成] ダイアログボックスのパラメータの値の例:

      • 名前: RemoteLogon

      • 説明: プレフィックスリストの CIDR ブロックからセキュリティグループの Elastic Compute Service (ECS) インスタンスへのアクセスを許可します。

      • アドレスファミリ: [ipv4]

      • 最大エントリ数: 2

        説明

        プレフィックスリストに関連付けられているリソース (セキュリティグループなど) のルールクォータは、実際のエントリ数ではなく、プレフィックスリストの最大エントリ数に基づいて計算されます。 [最大エントリ数] に適切な値を設定してください。

      • エントリ: [エントリの追加] をクリックし、1 つのエントリに 192.168.1.0/24 と入力します。 もう一度 [エントリの追加] をクリックし、別のエントリに 192.168.2.0/24 と入力します。

        上記の各 CIDR ブロックは、連続した IP アドレスのセットです。

        • 192.168.1.0/24: 192.168.1.0 から 192.168.1.255 まで。

        • 192.168.2.0/24: 192.168.2.0 から 192.168.2.255 まで。

3. プレフィックスリストを参照するセキュリティグループルールを追加します。

   次の手順を繰り返して、複数のセキュリティグループのリモート接続ポートへのアクセスを許可するために RemoteLogon プレフィックスリストを参照するルールを追加します。

   1. 左側のナビゲーションウィンドウで、[ネットワークとセキュリティ] > [セキュリティグループ] を選択します。

   2. ルールを追加するセキュリティグループを見つけ、[ルールを管理][操作] 列の をクリックします。

   3. [受信] タブで、[ルールの追加] をクリックします。

      説明

      この例では、Virtual Private Cloud (VPC) タイプのセキュリティグループが使用されています。 クラシックネットワークタイプのセキュリティグループの場合は、CIDR ブロックがパブリックかどうかによってタブを選択します。

   4. ルールを追加するためのパラメータを設定し、[保存] をクリックします。

      この例では、セキュリティグループの ECS インスタンスへの SSH アクセスとリモートデスクトッププロトコル ( RDP ) アクセスを許可するルールが追加されます。 ルールエントリのパラメータの値の例:

      • アクション: [許可]

      • 優先度: 1

      • プロトコルタイプ: [カスタム TCP ]

      • ポート範囲: [ SSH ( 22 )] および [ RDP ( 3389 )]

      • 権限付与オブジェクト: RemoteLogon プレフィックスリスト

      ルールが追加されると、RemoteLogon プレフィックスリストに含まれる CIDR ブロックは、セキュリティグループ内のインスタンスに接続できるようになります。

4. プレフィックスリストのエントリを変更します。

   ルールをセキュリティグループに追加した後、RemoteLogon プレフィックスリストに含まれる特定の IP アドレスからのアクセスを拒否する場合は、セキュリティグループルールを 1 つずつ変更する代わりに、プレフィックスリストの対応するエントリを変更します。 たとえば、プライベート IP アドレスが 192.168.1.1 と 192.168.2.1 のインスタンスをジャンプサーバーとして使用し、ジャンプサーバーからのみセキュリティグループへのアクセスを許可するとします。 プレフィックスリストのエントリを変更するには、次の手順を実行します。

   1. 左側のナビゲーションウィンドウで、[ネットワークとセキュリティ] > > [プレフィックスリスト] を選択します。

   2. RemoteLogon プレフィックスリストを見つけ、[詳細の表示][アクション] 列の をクリックします。

   3. [エントリ] タブをクリックします。

   4. 1 つのエントリに対応する 変更[アクション] 列の をクリックします。

   5. CIDR ブロックを変更し、[保存] をクリックします。

      上記の手順を繰り返して、他のエントリを変更します。 1 つのエントリの CIDR ブロックは 192.168.1.1/32 に変更され、もう 1 つのエントリの CIDR ブロックは 192.168.2.1/32 に変更されます。

      エントリが変更されると、変更はすぐに有効になります。 RemoteLogon プレフィックスリストを使用するセキュリティグループルールは、192.168.1.1/32 および 192.168.2.1/32 からのアクセスのみを許可するように更新されます。

その他のユースケース