NLBインスタンスのセキュリティグループへの追加

仕組み

デフォルトでは、NLB インスタンスがセキュリティグループに関連付けられているかどうかに関係なく、リスナーポートはすべての受信リクエストを許可します。許可ルールのみを含むセキュリティグループを追加しても、この動作は変更されません。特定の IP アドレスへのアクセスを制限するには、セキュリティグループに少なくとも 1 つの拒否ルールを追加する必要があります。

NLB セキュリティグループは、受信トラフィックにのみ適用されます。送信トラフィック (クライアントリクエストへの応答) は制限されないため、送信ルールは不要です。

マネージドセキュリティグループ

NLB インスタンスを作成すると、システムは同じ仮想プライベートクラウド (VPC) 内にマネージドセキュリティグループを自動的に作成します。このセキュリティグループは読み取り専用です。ルールを表示することはできますが、変更はできません。

マネージドセキュリティグループには、次のルールが含まれています。

優先度	アクション	プロトコル	送信元	ポート範囲	説明
1	許可	すべて	NLB ローカル IP アドレス	すべて	NLB インスタンスとバックエンドサーバー間の通信を有効にし、ヘルスチェックトラフィックを許可します
100	許可	すべて	0.0.0.0/0	すべて	デフォルトですべての受信トラフィックを許可します
(非表示)	拒否	すべて	0.0.0.0/0	すべて	基本セキュリティグループおよび高度セキュリティグループに組み込まれている、すべてを拒否するデフォルトルール。優先度 100 の許可ルールが優先されます

重要

優先度 1 で、NLB のローカル IP アドレスを送信元とする拒否ルールは追加しないでください。このようなルールはマネージドセキュリティグループと競合し、NLB インスタンスとバックエンドサーバー間の通信を妨げる可能性があります。NLB インスタンスのローカル IP アドレスを確認するには、NLB コンソールにログインしてください。

制限事項

項目	詳細
サポートされるセキュリティグループタイプ	基本セキュリティグループ、高度セキュリティグループ
サポートされないセキュリティグループタイプ	マネージドセキュリティグループ
同一 VPC が必須	セキュリティグループと NLB インスタンスは、同じ VPC に属している必要があります
セキュリティグループの最大数	NLB インスタンスごとに最大 4 つのセキュリティグループ
タイプの混在は不可	NLB インスタンスに関連付けられるすべてのセキュリティグループは、同じタイプである必要があります。基本から高度に切り替えるには、まず基本セキュリティグループから NLB インスタンスを削除してください。高度から基本に切り替えるには、まず高度セキュリティグループから NLB インスタンスを削除してください
クォータの計算	利用可能なセキュリティグループスロット = ECS の ENI セキュリティグループクォータ - 1 (マネージドセキュリティグループ用に予約)
セキュリティグループルールのクォータ	利用可能なルールスロット = ECS の ENI セキュリティグループルールクォータ - マネージドセキュリティグループ内のルール数
レガシーインスタンス	2022 年 9 月 30 日以前 (パブリックプレビュー期間中) に作成された NLB インスタンスは、セキュリティグループに追加できません。この機能を使用するには、これらのインスタンスを置き換えるか、新しいインスタンスを作成してください

基本セキュリティグループと高度セキュリティグループの違いの詳細については、「基本セキュリティグループと高度セキュリティグループ」をご参照ください。

前提条件

開始する前に、次の条件を満たしていることを確認してください。

少なくとも 1 つのリスナーが設定された NLB インスタンス。「NLBインスタンスの作成と管理」をご参照ください
必要なルールを含むセキュリティグループ。「セキュリティグループ」をご参照ください。
NLB インスタンスと同じ VPC に属するセキュリティグループ。選択可能なセキュリティグループのリストには、NLB インスタンスと同じ VPC 内のセキュリティグループのみが表示されます。

NLBコンソールにログインします。
上部メニューで、NLB インスタンスがデプロイされているリージョンを選択します。
[インスタンス] ページで、インスタンス ID をクリックします。 [インスタンス詳細] タブで、[セキュリティグループ] タブをクリックします。
[セキュリティグループの作成] をクリックします。[NLB インスタンスをセキュリティグループに追加] ダイアログボックスで、1 つ以上のセキュリティグループを選択し、[OK] をクリックします。このページから新しいセキュリティグループを作成するには、[セキュリティグループ] ドロップダウンリストから [セキュリティグループの作成] をクリックします。NLB インスタンスは、最大 4 つのセキュリティグループに追加できます。
関連付けられたセキュリティグループのルールを表示するには、左側のナビゲーションペインでその ID をクリックし、[受信ポリシー] または [送信ポリシー] タブを選択します。受信ルールを変更するには、[基本情報] セクションでセキュリティグループ ID をクリックするか、[セキュリティグループ] タブの右上隅にある [ECS コンソール] をクリックして Elastic Compute Service (ECS) コンソールの [セキュリティグループの詳細] ページに移動します。詳細については、セキュリティグループのルールを変更するをご参照ください。

NLBインスタンスのセキュリティグループからの削除

コンソールから一度に削除できるセキュリティグループは 1 つのみです。

NLBコンソールにログインします。
上部メニューで、NLB インスタンスがデプロイされているリージョンを選択します。
[インスタンス] ページでインスタンス ID をクリックし、[インスタンス詳細] タブで [セキュリティグループ] タブをクリックします。
削除するセキュリティグループの ID をクリックし、次に右上隅の[削除]をクリックします。
[削除] ダイアログボックスで、[OK] をクリックします。

API操作

次の API を使用して、セキュリティグループの関連付けをプログラムから管理できます。

操作	説明	例
LoadBalancerJoinSecurityGroup	NLB インスタンスをセキュリティグループに追加します	リクエストパラメーターと例については、リンク先の API リファレンスをご参照ください
LoadBalancerLeaveSecurityGroup	NLB インスタンスをセキュリティグループから削除します	リクエストパラメーターと例については、リンク先の API リファレンスをご参照ください

次のステップ

IP ベースのアクセス制御の設定：「セキュリティグループをブラックリストまたはホワイトリストとして使用する」
プロトコルおよびポートベースのアクセス制御の設定：「セキュリティグループを使用したNLBリスナーアクセスの制御」
セキュリティグループタイプの詳細：「セキュリティグループタイプ」