Tüm Ürünler
Search

Bu Ürün

    Elastic Compute Service:Security groups

    Belge Merkezi

    Elastic Compute Service:Security groups

    Son Güncelleme:Sep 30, 2026

    Güvenlik grupları kurallar aracılığıyla ince ayarlı ağ yalıtımı ve erişim kontrolü sunan sanal güvenlik duvarları olarak ECS örnekleri için çalışır.

    Bu örnekte iki güvenlik grubu kuralının nasıl yapılandırılacağı gösterilir: Birinci kural, bir örneğe yalnızca yetkili bir IP adresinden uzaktan yönetim erişimine izin verir; ikinci kural ise örneğin genel ağdaki yüksek riskli sitelere erişimini engeller.

    • Gelen kuralı: Belirli bir IP adresinden (121.XX.XX.XX) SSH (22 numaralı bağlantı noktası) üzerinden örneğe erişime izin verir.

    • Giden kuralı: Örneğin bilinen bir yüksek riskli IP adresine (XX.XX.XX.XX) erişimini engeller.

    image

    Güvenlik grubunu yapılandırma

    1. Örnek satın alma sayfasına gidin: ECS konsolu - Özel Başlatma sayfasında örnek yapılandırmalarını seçin.

    2. Güvenlik grubu oluşturun: Network and Security Group bölümünde temel bir güvenlik grubu veya kurumsal bir güvenlik grubu oluşturun ve bir ad belirtin.

    3. Yaygın kuralları hızla yapılandırın: Bir örnek satın aldığınızda konsol yaygın kuralların bir listesini sunar. Bu kuralları seçerek tüm IP adreslerinden (0.0.0.0/0) örnekteki belirli bağlantı noktalarına veya protokollere trafiğe izin verebilirsiniz.

    Örnek oluşturma sırasında ince ayarlı güvenlik grubu kurallarını yapılandıramazsınız. Örnek oluşturulduktan sonra bu kuralları yapılandırabilirsiniz. Hızlı yapılandırma sırasında SSH (22) ve RDP (3389) gibi uzaktan yönetim bağlantı noktalarını seçtiyseniz, örnek oluşturulduktan sonra güvenlik grubu kurallarını değiştirerek yalnızca güvenilir IP adreslerinden erişime izin vermenizi öneririz.

    1. Oluşturmadan sonra güvenlik grubu kurallarını yapılandırın: Örneği satın aldıktan sonra güvenlik grubu kurallarını yapılandırmak için Güvenlik grubu kuralları konusuna bakın.

    Kısıtlı örnek erişimi ve veritabanı güvenlik ilkeleri gibi çeşitli iş senaryoları için daha fazla güvenlik grubu kuralı yapılandırması örneği görmek için Güvenlik grubu uygulaması ve kullanım örnekleri konusuna bakın.

    Mevcut bir örnek ile güvenlik grubunu ilişkilendirme

    Bir güvenlik grubunu bir ECS örneğiyle ilişkilendirdiğinizde güvenlik grubu örneğin birincil ağ arabirimine uygulanır.

    1. Bir güvenlik grubu oluşturun.

      Yeni bir güvenlik grubu oluşturmanız gerekmiyorsa doğrudan mevcut bir örnek ile güvenlik grubunu ilişkilendirme adımına geçebilirsiniz.

      Konsol

      1. ECS konsolu - Güvenlik Grupları sayfasına gidin ve Create Security Group seçeneğini tıklayın.

      2. Güvenlik grubu adını ayarlayın ve bir Virtual Private Cloud belirtin.

      3. Güvenlik grubu türü olarak Basic Security Group veya Advanced Security Group seçin.

      4. Güvenlik grubu kurallarını yapılandırın.

        Add Rule seçeneğini tıklayın. Mevcut kuralları Modify veya Delete de yapabilirsiniz. Güvenlik grubu kuralları durum bilgisi içerir. Sistem ilgili giden yanıt trafiğine otomatik olarak izin verdiğinden yalnızca gelen kurallarını yapılandırmanız yeterlidir. Yaygın bağlantı noktaları ve önerilen kaynaklar hakkında bilgi için aşağıdaki tabloya bakın. Tam örnekler için Güvenlik grubu uygulaması ve kullanım örnekleri konusuna bakın.

        Yaygın bağlantı noktası kuralı örnekleri


        Bağlantı Noktası


        Protokol


        Amaç


        Kaynak


        Referans


        22


        TCP


        SSH uzaktan bağlantı (Linux)


        Ofis ağınız veya sabit bir genel IP adresi. 0.0.0.0/0 adresinin uzun süreli kullanımı önerilmez.


        Kullanım Örneği 2


        3389


        TCP


        RDP uzak masaüstü (Windows)


        Ofis ağınız veya sabit bir genel IP adresi. 0.0.0.0/0 adresinin uzun süreli kullanımı önerilmez.


        Kullanım Örneği 2


        80


        TCP


        HTTP


        Genel web siteleri için 0.0.0.0/0 kullanabilirsiniz.


        Kullanım Örneği 1


        443


        TCP


        HTTPS


        Genel web siteleri için 0.0.0.0/0 kullanabilirsiniz.


        Kullanım Örneği 1


        8888


        TCP


        BT-Panel gibi yönetim panelleri için kullanılır. Gerçek bağlantı noktası panelin yapılandırmasına bağlıdır.


        Trafiğe yalnızca yönetici IP adreslerinden izin verin. Panel kurulumu sırasında belirtilen bağlantı noktasını açın.


        -


        3306 veya diğer bağlantı noktaları


        TCP


        VPC içindeki bir veritabanına uygulama erişimi


        Veritabanının güvenlik grubunun gelen kurallarında kaynak güvenlik grubunu yetkilendirin. Bu bağlantı noktasını herkese açık hale getirmeyin.


        Kullanım Örneği 3


        Hizmet bağlantı noktası


        TCP


        Farklı güvenlik grupları arasında iletişim (örneğin 8080 ve 3306 numaralı bağlantı noktalarında)


        Hedef güvenlik grubunun gelen kurallarında kaynak güvenlik grubu kimliğini yetkilendirin.


        Kullanım Örneği 5
        Uyarı

        • En az ayrıcalık ilkesi: 80/443 bağlantı noktaları gerektiğinde herkese açık olabilir. SSH (22 numaralı bağlantı noktası), RDP (3389 numaralı bağlantı noktası) ve yönetim paneli bağlantı noktalarına erişim güvenilir IP adresleriyle sınırlandırılmalıdır. 0.0.0.0/0 veya ::/0 kullanımından kaçının.

        • Kural önceliği: Aynı önceliğe sahip kurallarda reddetme kuralları önceliklidir. Güvenlik grupları varsayılan olarak belirli türdeki ağ trafiğine izin verir.

        • Değişiklik yönetimi: Üretim ortamında güvenlik gruplarını doğrudan değiştirmekten kaçının. Önce bir güvenlik grubunu kopyalamanızı , test ortamında doğrulamanızı ve ardından üretim kurallarını ayarlamanızı öneririz.

      5. OK seçeneğini tıklayın.

        Yapılandırılmış kuralı olmayan yeni bir Temel Güvenlik Grubu varsayılan davranışlara sahiptir: Tüm giden trafiğe izin verilir ve aynı güvenlik grubu içindeki diğer ECS örneklerinden gelen trafiğe de izin verilir. Diğer tüm gelen trafik reddedilir.

      API

      Bir güvenlik grubu oluşturmak için CreateSecurityGroup API çağrısını yapın.

      Bir güvenlik grubu oluşturduktan sonra güvenlik grubu kurallarını yönetmek için aşağıdaki API işlemlerini çağırın:

    2. Mevcut bir örnek ile güvenlik grubunu ilişkilendirin.

      Konsol

      1. ECS konsolu - Örnekler sayfasında örnek kimliğini tıklayarak örnek ayrıntıları sayfasını açın.

      2. Örnek ayrıntıları sayfasında Security Group sekmesine gidin. Güvenlik grubu listesinde güvenlik gruplarını eklemek veya kaldırmak için Change Security Groups seçeneğini tıklayın. Birden çok güvenlik grubu ilişkilendirildiğinde kuralları birleştirilir ve önceliğe göre uygulanır.

      API

      • Bir ECS örneğiyle birden çok güvenlik grubunu ilişkilendirmek için ModifyInstanceAttribute çağrısını yapın.

      • Bir ECS örneğini belirtilen bir güvenlik grubuna eklemek için JoinSecurityGroup çağrısını yapın.

      • Bir ECS örneğini belirtilen bir güvenlik grubundan kaldırmak için LeaveSecurityGroup çağrısını yapın.

    İkincil ENI'yi bir güvenlik grubuyla ilişkilendirme

    Güvenlik grupları bir ECS örneğinin esnek ağ arabirimlerine uygulanır. Bir örnekte birden çok esnek ağ arabirimi varsa her biriyle farklı güvenlik gruplarını ilişkilendirebilir ve katmanlı trafik denetimi ile hizmet yalıtımı için farklı kurallar yapılandırabilirsiniz.

    Konsol

    1. ECS konsolu - Esnek Ağ Arabirimleri sayfasına gidin ve hedef ikincil esnek ağ arabirimini açmak için kimliğini tıklayın.

    2. Change Security Groups seçeneğini tıklayın, ilişkilendirilecek güvenlik gruplarını seçin ve ardından OK seçeneğini tıklayın.

    API

    • Bir esnek ağ arabirimini belirtilen bir güvenlik grubuna eklemek için JoinSecurityGroup çağrısını yapın.

    • Bir esnek ağ arabirimini belirtilen bir güvenlik grubundan kaldırmak için LeaveSecurityGroup çağrısını yapın.

    • Bir esnek ağ arabirimiyle birden çok güvenlik grubunu ilişkilendirmek için ModifyNetworkInterfaceAttribute çağrısını yapın.

    Grup içi ağ iletişimi

    Varsayılan olarak aynı temel güvenlik grubu içindeki ECS örnekleri dahili ağ üzerinden birbirleriyle iletişim kurabilir. Güvenliği artırmak için grup içi bağlantı ilkesini dahili izolasyon olarak değiştirerek dahili ağ iletişimini engelleyebilirsiniz.

    Kurumsal güvenlik grupları dahili bağlantı ilkesinin değiştirilmesini desteklemez.

    • Bir örnek birden çok güvenlik grubuyla ilişkilendirildiyse en az bir güvenlik grubunun grup içi bağlantı ilkesi iletişime izin veriyorsa dahili ağ iletişimine izin verilir.

    • Bir güvenlik grubunun grup içi bağlantı ilkesi dahili izolasyon olarak ayarlandığında bile örnekler arasındaki iletişime izin vermek için güvenlik grubu kurallarını yapılandırabilirsiniz.

    Konsol

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin ve ardından hedef güvenlik grubunun ayrıntılarını açmak için kimliğini tıklayın.

    2. Security Group Details sayfasında Basic Information bölümünde Modify Internal Access Control Policy seçeneğini tıklayın.

    3. Güvenlik grubunun grup içi bağlantı ilkesinin artık Internal Isolation olduğunu doğrulayın.

    API

    Temel bir güvenlik grubunun grup içi bağlantı ilkesini değiştirmek için ModifySecurityGroupPolicy işlemine çağrı yapın.

    Güvenlik grupları arasında ağ erişimi

    Bir kural için kaynak olarak başka bir güvenlik grubu belirttiğinizde, kaynak güvenlik grubundaki örnekler mevcut güvenlik grubundaki örneklere dahili ağ üzerinden erişebilir. Örneğin, A güvenlik grubuna gelen bir kural ekleyip B güvenlik grubunu kaynak olarak belirlerseniz, B güvenlik grubundaki örnekler A güvenlik grubundaki örneklere erişebilir.

    Kurumsal güvenlik gruplarının kuralları, kaynak olarak başka bir güvenlik grubu belirtilmesini desteklemez.

    image

    Konsol

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin ve ayrıntılar sayfasını açmak için bir güvenlik grubu kimliğine tıklayın.

    2. Hedef Security Group Details sayfasında bir kural yönü seçin ve Add Rule öğesine tıklayın.

    3. Create Security Group Rule sayfasında Source değerini Security Group veya Cross-account Security Group olarak ayarlayın.

    API

    • AuthorizeSecurityGroup işlevini çağırın ve gelen bir kuralda kaynak güvenlik grubunu belirtmek için SourceGroupId parametresini ayarlayın.

    • AuthorizeSecurityGroupEgress işlevini çağırın ve giden bir kuralda hedef güvenlik grubunu belirtmek için DestGroupId parametresini ayarlayın.

    Diğer işlemler

    Güvenlik grubu kuralları ekleme, değiştirme veya silme

    Güvenlik grubu kuralları, ağ trafiğinin bir güvenlik grubuna girmesi veya çıkması için karşılaması gereken koşulları tanımlar. Bir kural yapılandırırken trafik yönünü, hedefi ve önceliği belirtmeniz gerekir. Güvenlik grubu kuralları durum bilgisi tutar (stateful). Yalnızca gelen kuralları yapılandırmanız yeterlidir; güvenlik grubu ilgili giden yanıt trafiğine otomatik olarak izin verir.

    Konsol

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun ayrıntılar sayfasına gitmek için kimliğine tıklayın.

    2. Güvenlik grubu kurallarını yapılandırın.

      • Kural eklemek için: Hedef güvenlik grubunun ürün sayfasında bir yön seçin ve Add Rule öğesine tıklayın.

        Yaygın bağlantı noktası kuralı örnekleri


        Port


        Protocol


        Purpose


        Source


        Reference


        22


        TCP


        SSH uzaktan bağlantı (Linux)


        Ofis ağınız veya sabit bir genel IP adresi. 0.0.0.0/0 adresinin uzun süreli kullanımı önerilmez.


        Kullanım Durumu 2


        3389


        TCP


        RDP uzak masaüstü (Windows)


        Ofis ağınız veya sabit bir genel IP adresi. 0.0.0.0/0 adresinin uzun süreli kullanımı önerilmez.


        Kullanım Durumu 2


        80


        TCP


        HTTP


        Genel web siteleri için 0.0.0.0/0 kullanabilirsiniz.


        Kullanım Durumu 1


        443


        TCP


        HTTPS


        Genel web siteleri için 0.0.0.0/0 kullanabilirsiniz.


        Kullanım Durumu 1


        8888


        TCP


        BT-Panel gibi yönetim panelleri için kullanılır. Gerçek bağlantı noktası panelin yapılandırmasına bağlıdır.


        Trafiğe yalnızca yönetici IP adreslerinden izin verin. Panel kurulumu sırasında belirtilen bağlantı noktasını açın.


        -


        3306 veya diğer bağlantı noktaları


        TCP


        VPC içindeki bir veritabanına uygulama erişimi


        Veritabanının güvenlik grubunun gelen kurallarında kaynak güvenlik grubuna yetki verin. Bu bağlantı noktasını herkese açık hale getirmeyin.


        Kullanım Durumu 3


        Hizmet bağlantı noktası


        TCP


        Farklı güvenlik grupları arasındaki iletişim (örneğin, 8080 ve 3306 numaralı bağlantı noktalarında)


        Hedef güvenlik grubunun gelen kurallarında kaynak güvenlik grubu kimliğine yetki verin.


        Kullanım Durumu 5
        Uyarı

        • En az ayrıcalık ilkesi: 80/443 bağlantı noktaları gerektiğinde herkese açılabilir. SSH (22 numaralı bağlantı noktası), RDP (3389 numaralı bağlantı noktası) ve yönetim paneli bağlantı noktalarına yönelik erişim yalnızca güvenilir IP adresleriyle sınırlandırılmalıdır. 0.0.0.0/0 veya ::/0 kullanımından kaçının.

        • Kural önceliği: Aynı önceliğe sahip kurallar için reddetme kuralları önceliklidir. Güvenlik grupları varsayılan olarak belirli türdeki ağ trafiğine izin verir.

        • Değişiklik yönetimi: Üretim ortamındaki güvenlik gruplarını doğrudan değiştirmekten kaçının. Önce bir güvenlik grubunu klonlamanız, test ortamında doğrulamanız ve ardından üretim kurallarını ayarlamanız önerilir.

      • Kuralı değiştirmek için: Hedef güvenlik grubunun ayrıntılar sayfasındaki Access Rule alanında hedef kuralı bulun ve Edit sütununda Actions öğesine tıklayın.

      • Kuralı silmek için: Hedef güvenlik grubunun ayrıntılar sayfasında Access Rule alanında hedef kuralı bulun ve Delete sütununda Actions öğesine tıklayın.

    API

    Kurallar aynı önceliğe sahipse reddetme kuralları önceliklidir. Güvenlik grupları varsayılan olarak belirli türdeki ağ trafiğine izin verir.
    Uyarı

    • Üretim ortamınızdaki güvenlik tehditlerini azaltmak için güvenlik grubu kurallarını en az ayrıcalık ilkesine (beyaz liste) göre yapılandırın. Tüm kaynaklardan (0.0.0.0/0 veya ::/0) gelen erişime izin vermeyin; özellikle ECS örneklerinde oturum açma veya bunları yönetme gibi önemli senaryolarda buna dikkat edin.

    • Üretim ortamındaki güvenlik gruplarını doğrudan değiştirmeyin. Önce güvenlik grubunu klonlayabilir ve bir test ortamında sınayabilirsiniz. Örnek trafiğinin normal olduğunu doğruladıktan sonra üretim ortamındaki güvenlik grubunun kurallarını değiştirebilirsiniz.

    Önek listeleri

    Birden çok IP adresi aralığı için izinleri merkezi olarak yönetmek amacıyla önek listelerini kullanın. Bu yaklaşım, güvenlik grubu kuralı yapılandırmasını basitleştirir ve toplu bakım verimliliğini artırır.

    Konsol

    1. Bir önek listesi oluşturun:

      1. ECS konsolu - Önek Listeleri sayfasına gidin.

      2. Create Prefix List öğesine tıklayın.

        Bir önek listesine başvuran bir güvenlik grubu için kural sayısı, liste için belirtilen maksimum giriş sayısına göre hesaplanır.

    2. Hedef güvenlik grubunun ayrıntılar sayfasında Access Rule bölümünde bir kural ekleyin veya değiştirin:

      1. Source değerini bir önek listesi olarak ayarlayın ve hedef önek listesini seçin.

    API

    • Bir önek listesi oluşturmak için CreatePrefixList işlevini çağırın. Önek listesi oluşturulduktan sonra ayrıntılarını sorgulamak için DescribePrefixListAttributes işlevini çağırabilirsiniz.

    • Gelen bir kuralda önek listesinden gelen erişime yetki vermek için AuthorizeSecurityGroup işlevini çağırın ve SourcePrefixListId parametresini ayarlayın.

    • Giden bir kuralda önek listesine yönelik erişime yetki vermek için AuthorizeSecurityGroupEgress işlevini çağırın ve DestPrefixListId parametresini ayarlayın.

    Yinelenen kurallar

    Sağlık denetimi özelliği, yinelenen kuralları tespit edebilir. Bir kuralın koşulları, eşit veya daha yüksek önceliğe sahip başka bir kural tarafından tamamen kapsanıyorsa bu kural yinelenmiş sayılır. Yinelenen kurallar güvenlik grubu kuralı kotanızı tüketir. Kotalarınız dolduğunda yeni kural eklerken hata almamak için bu kuralları periyodik olarak temizleyin.

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun ayrıntılar sayfasında Access Rule sekmesini tıklayın ve ardından Health Check düğmesine basın.

    2. Health Check iletişim kutusunda silmek istediğiniz yinelenen kuralları seçin ve Delete Selected Rules butonuna tıklayın.

    Güvenlik gruplarını klonlama

    Aynı yapılandırmaya sahip birden çok güvenlik grubunu hızlıca oluşturmak veya bir güvenlik grubunu farklı bölgelere ya da ağ türlerine kopyalayarak yedeklemek için klonlama özelliğini kullanabilirsiniz. Klonlama işlemi tamamlandığında yeni güvenlik grubu, hedef bölgenin güvenlik grubu listesinde görünür.

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun Operation sütununda Clone Security Group seçeneğine tıklayın.

    2. Hedef güvenlik grubunu yapılandırın. Klonlama sonrası yeni grup, hedef bölgedeki listede yer alacaktır.

      • VPC ID: Yeni güvenlik grubunun ait olacağı VPC.

      • Retention Rule: Kaynak güvenlik grubundaki tüm kuralların korunmasını istiyorsanız bu seçeneği işaretleyin. Önceliği 100'den yüksek olan kuralların öncelik değeri 100 olarak atanır.

      • Copy Tags of Current Security Group: Kaynak güvenlik grubundaki etiketlerin yeni gruba kopyalanıp kopyalanmayacağını belirtin.

    Kuralları içe ve dışa aktarma

    Kuralları yedeklemek, geri yüklemek veya geçişini sağlamak amacıyla içe ve dışa aktarma işlemlerini gerçekleştirebilirsiniz.

    Kuralları içe aktarma

    İçe aktarılan güvenlik grubu kurallarının aşağıdaki gereksinimleri karşılaması gerekir:

    • Dosya biçimi: JSON veya CSV.

    • Kural sayısı: Tek seferde en fazla 200 kural içe aktarılabilir.

    • Kural önceliği: 1 ile 100 arasında olmalıdır. 100'den yüksek önceliğe sahip kurallar dikkate alınmaz.

    Kuralları farklı bölgeler arasında içe aktardığınızda, diğer güvenlik gruplarına, ön ek listelerine veya bağlantı noktası listelerine referans veren kurallar desteklenmez.

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun ayrıntılar sayfasında Import Security Group Rule düğmesine Access Rule bölümünde tıklayın.

    2. Import Security Group Rule sayfasında Select a file butonuna tıklayın, yerel bir JSON veya CSV dosyası seçin ve ardından OK düğmesine basın.

    İçe aktarma başarısız olursa uyarı simgesinin üzerine gelerek nedenini görüntüleyebilirsiniz.

    Kuralları dışa aktarma

    ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun ayrıntılar sayfasında Export düğmesine Access Rule bölümünde tıklayın. Dışa aktarılan kural dosyası aşağıdaki biçimlerden biriyle adlandırılır:

    • JSON biçimi: ecs_${region_id}_${groupID}.json.

      Örnek: Bölge kimliği cn-qingdao ve güvenlik grubu kimliği sg-123 ise dışa aktarılan dosyanın adı ecs_cn-qingdao_sg-123.json olur.

    • CSV biçimi: ecs_sgRule_${groupID}_${region_id}_${time}.csv.

      Örnek: Bölge kimliği cn-qingdao , güvenlik grubu kimliği sg-123 ve dışa aktarma tarihi 2020-01-20 ise dışa aktarılan dosyanın adı ecs_sgRule_sg-123_cn-qingdao_2020-01-20.csv olur.

    Güvenlik grubu anlık görüntüleri

    Güvenlik grubu anlık görüntüleri, güvenlik grubu kurallarını otomatik olarak yedekler. Bir güvenlik grubu kuralı değiştirildiğinde sistem otomatik olarak bir anlık görüntü oluşturur. Anlık görüntüler kullanarak kuralları belirli bir zaman noktasına geri yükleyebilir ve hatalı işlemlerden kaynaklanan kural kayıplarını önleyebilirsiniz.

    Önemli

    • Sistem, bir kural değiştirildikten 5 dakika sonra bir anlık görüntü oluşturur. Bu 5 dakikalık pencere içinde birden çok değişiklik yapılırsa sistem, yalnızca ilk değişiklikten önce geçerli olan kurallara dayalı tek bir anlık görüntü oluşturur.

    • Güvenlik grubu anlık görüntüleri, yedekleme verilerini depolamak için Object Storage Service (OSS) kullanır. OSS, kullandıkça öde modeliyle çalışan bir hizmettir. Güvenlik grubu anlık görüntülerini kullanırsanız OSS depolama alanı ve istekleri için ücretlendirilirsiniz.

    Anlık görüntü ilkesi oluşturma

    1. ECS konsolu - Güvenlik Grubu Anlık Görüntüleri sayfasına gidin ve Create Security Group Snapshot Policy düğmesine tıklayın.

    2. Create Snapshot Policy iletişim kutusunda aşağıdaki parametreleri yapılandırın:

      • Policy Name:: Anlık görüntü ilkesi için bir ad girin.

      • Status: Enable veya Disable seçeneklerinden birini belirleyin. İlke etkinleştirildiğinde yalnızca ilişkili güvenlik grupları için anlık görüntü oluşturulabilir.

      • Retention Period: Anlık görüntülerin saklanacağı gün sayısını belirtin. Geçerli değerler: 1 ila 30. Varsayılan değer: 1. Süresi dolan anlık görüntüler otomatik olarak silinir.

      • OSS Storage Configuration: Anlık görüntü verilerini depolamak için kullanmak istediğiniz OSS paketini yapılandırın. Paket adını boş bırakırsanız sistem varsayılan paketi kullanır.

    3. OK düğmesine tıklayın.

      İlk kez bir anlık görüntü ilkesi oluşturduğunuzda, OSS paketlerinize erişmesi için hizmet bağlantılı rolü (SLR) ALIYUNSECURITYGROUPSNAPSHOTROLE yetkilendirmeniz istenir. Rol zaten mevcutsa yeniden yetkilendirme yapmanız gerekmez.

    İlkeleri güvenlik gruplarıyla ilişkilendirme

    Bir anlık görüntü ilkesi oluşturduktan sonra, kuralların yedeklenmeye başlaması için bu ilkeyi bir güvenlik grubuyla ilişkilendirmeniz gerekir.

    Bir güvenlik grubunu bir anlık görüntü ilkesiyle ilişkilendirdiğinizde sistem, söz konusu güvenlik grubu için hemen bir anlık görüntü oluşturur.

    1. ECS konsolu - Güvenlik Grubu Anlık Görüntüleri sayfasına gidin. Anlık görüntü ilkesini bulun ve Associated Security Group düğmesine Operation sütununda tıklayın.

    2. Associated Security Group iletişim kutusunda ilişkilendirmek istediğiniz güvenlik gruplarını seçin.

      Bir anlık görüntü ilkesini en fazla 10 güvenlik grubuyla ilişkilendirebilirsiniz. Bir güvenlik grubu, farklı ayarlara sahip birden çok anlık görüntü ilkesiyle ilişkilendirilebilir.

    3. OK düğmesine tıklayın.

    Anlık görüntüden kuralları geri yükleme

    Önemli

    Geri yükleme işlemi hemen etkili olur ve geri alınamaz. Bu işlem, güvenlik grubundaki mevcut tüm kuralların üzerine anlık görüntüdeki kuralları yazar.

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin ve hedef güvenlik grubunun kimliğine tıklayın.

    2. Güvenlik grubunun ayrıntılar sayfasında Snapshots sekmesine tıklayın. Geri almak için kullanmak istediğiniz anlık görüntüyü bulun ve Restore Snapshot düğmesine Operation sütununda tıklayın.

    3. Restore Security Group iletişim kutusunda geri yüklenecek bilgileri onaylayın.

      • Inbound ve Outbound sekmelerinde Current Security Group Rules ile Restored Security Group Rules bilgilerini karşılaştırın.

      • Bilgileri onayladıktan sonra OK düğmesine tıklayın.

    Güvenlik gruplarını silme

    Uyarı

    Güvenlik grubu silme işlemi geri alınamaz ve gruptaki tüm kuralları kalıcı olarak kaldırır. Bir güvenlik grubunu silmeden önce yapılandırmalarını yedeklediğinizden emin olun.

    Konsol

    1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunun Operation sütununda Delete düğmesine tıklayın.

    2. Delete Security Group iletişim kutusunda bilgileri onaylayın ve OK düğmesine tıklayın.

      Bir güvenlik grubu herhangi bir ECS örneği veya esnek ağ arabirimi ile ilişkili değilse ve Delete Security Group iletişim kutusu hala Undeletable durumunu gösteriyorsa Force-delete seçeneğine tıklayabilirsiniz.

    API

    Bir güvenlik grubunu silmek için DeleteSecurityGroup API'sini çağırın.

    Aşağıdaki durumlarda bir güvenlik grubu silinemez:

    • Güvenlik grubu bir ECS örneği veya esnek ağ arabirimi ile ilişkilidir. Güvenlik grubunu silebilmeniz için önce bu ilişkileri kaldırmanız gerekir.

    • Güvenlik grubu, başka bir güvenlik grubundaki bir kural tarafından referans gösterilmektedir. Önce referans veren kuralı silmelisiniz.

    • Yönetilen güvenlik grupları salt okunurdur ve silinemez.

    • Güvenlik grubu için silme koruması etkindir. Silme korumasını devre dışı bırakmayı deneyin. Silme korumasını devre dışı bırakamıyorsanız güvenlik grubunu silemezsiniz.

      Silme koruması etkindir; çünkü DeleteSecurityGroup işlemi InvalidOperation.DeletionProtection hata kodunu döndürür veya konsolda deletion protection ile ilgili bir mesaj görüntülenir.

    Üretim ortamı önerileri

    • Güvenlik grubu planlaması

      • Tek sorumluluk: Web, veritabanı ve önbellek katmanları gibi farklı iş yükleri için ayrı güvenlik grupları kullanın.

      • Ortam izolasyonu: Üretim ve test ortamları için güvenlik gruplarını ayrı tutun.

      • Adlandırma kuralı: Tutarlı bir format kullanın, örneğin environment-application-purpose-sg. Örnek: prod-mysql-db-sg.

    • Kural yapılandırması

      • En az ayrıcalık ilkesi: Yalnızca gerekli bağlantı noktalarını gereken kaynaklara açın. SSH (22) ve RDP (3389) gibi yönetim bağlantı noktalarını 0.0.0.0/0 adresine açmaktan kaçının. Erişim her zaman güvenilir, sabit IP adresleriyle sınırlandırılmalıdır.

      • Varsayılan reddetme: Varsayılan olarak tüm gelen trafiği reddedin. Yalnızca gerektiğinde, belirli kaynaklardan belirli bağlantı noktalarına erişime izin vermek için gelen kuralları ekleyin.

      • Kural önceliği çakışmaları: Bir örnek birden çok güvenlik grubuyla ilişkiliyse, daha yüksek öncelikli bir reddetme kuralı daha düşük öncelikli bir izin verme kuralını geçersiz kılar. Ağ bağlantısı sorunlarını gidermek için ilişkili tüm güvenlik gruplarını kontrol edin.

    • Değişiklik yönetimi

      • Üretim ortamlarında doğrudan değişiklik yapmaktan kaçının: Üretim ortamındaki güvenlik gruplarını değiştirmek yüksek riskli bir işlemdir. Önce bir güvenlik grubunu klonlayın ve değişiklikleri test ortamında doğrulayın. Örnek trafiğinin etkilenmediğinden emin olduktan sonra üretim ortamındaki güvenlik grubunun kurallarını değiştirin.

    Faturalama

    Güvenlik grupları ücretsizdir.

    Sınırlamalar


    Kısıtlama


    Temel güvenlik grubu


    Kurumsal güvenlik grubu


    Hesap başına bölgeye düşen maksimum güvenlik grubu sayısı


    Kota Kimliği: q_security-groups. Ayrıntılar için bkz. ECS kotalarını görüntüleme veya artırma.


    Temel güvenlik gruplarıyla aynı


    ENI başına güvenlik grubu sayısı


    10


    Temel güvenlik gruplarıyla aynı


    ENI başına tüm güvenlik gruplarındaki toplam kural sınırı (gelen + giden)


    1.000


    Temel güvenlik gruplarıyla aynı


    Başka bir güvenlik grubunu yetkilendirme nesnesi olarak kullanan kurallar


    20


    0. Kurumsal güvenlik grupları, güvenlik grubu yetkilendirme nesnelerini desteklemez ve diğer güvenlik grubu kurallarında yetkilendirme nesnesi olarak kullanılamaz.


    VPC güvenlik grubu başına ECS örneği sayısı


    Sabit değildir; güvenlik grubunun barındırabileceği özel IP adresi sayısına bağlıdır.


    Sınır yok


    Hesap başına bölgedeki VPC güvenlik grubuna düşen maksimum özel IP adresi sayısı


    6.000. IP adresi sayacı, ilişkili ENI'lerdeki tüm adres türlerini (birincil özel IPv4, IPv6, ikincil özel IPv4, IPv4 ön ekleri ve IPv6 ön ekleri) kapsar. Dahili ağ iletişimi için 6.000'den fazla özel IP adresine ihtiyacınız varsa, ECS örneklerini birden çok güvenlik grubuna dağıtın ve gruplar arası erişime izin verin. Bu kotayı, q_vpc-normal-security-group-ip-count kota kimliğini kullanarak Kota Merkezi içinde görüntüleyebilirsiniz.


    65.536. IP adresi sayısı, güvenlik grubuyla ilişkili ENI'lerin (birincil ve ikincil) toplam sayısını temsil eder.


    Genel bağlantı noktası 25


    Güvenlik nedeniyle varsayılan olarak kısıtlanmıştır. Bunun yerine e-posta göndermek için SSL şifreli 465 numaralı bağlantı noktasını kullanın.


    Temel güvenlik gruplarıyla aynı

    SSS

    Bir örneğe ping atılamıyor

    Bir ECS örneğine yönelik ping başarısızlıkları genellikle gelen ICMP trafiği (ping komutunun kullandığı protokol) için eksik bir güvenlik grubu kuralından kaynaklanır. Sorunu hızla tespit etmek için Güvenlik Grubu Kuralı Tanılama aracını kullanabilirsiniz.

    1. ECS konsolu - Örnekler sayfasına gidin, hedef örneği bulun ve örnek kimliğini not edin.

    2. Click to open the Self-service Troubleshooting page and select the target region.

    3. Security Group Rule Diagnosis seçeneğini seçin ve Start Diagnosis tıklayın.

    4. Not ettiğiniz örnek kimliğini ve ilgili ağ arayüzünü seçin. Ardından Check tıklayın.

      Çoğu durumda bir örneğin yalnızca bir ağ arayüzü bulunur.

    5. Tanılama sonuçlarını inceleyin. Tanılama, ICMP trafiğinin engellendiğini gösteriyorsa Enable Port tıklayın.

      ICMP'ye ek olarak tanılama aracı şu yaygın bağlantı noktalarının izin verilip verilmediğini de denetler: 80, 443, 22, 3389 ve 8080.

    6. Tanılamadan sonra sorun devam ederse ek sorun giderme adımları için bkz. Bir ECS örneğinin genel IP adresine ping atma hatalarını giderme.

    Bağlantı sorunları

    Bir hizmete erişilemiyorsa büyük olasılıkla bir güvenlik grubu gerekli bağlantı noktasındaki trafiği engelliyor demektir. Sorunu hızla belirlemek için güvenlik grubu kuralı tanılama aracını kullanın.

    1. ECS konsolu - Örnekler sayfasına gidin, hedef örneği bulun ve örnek kimliğini not edin.

    2. Click to open the Self-service Troubleshooting page and select the target region.

    3. Security group rule diagnosis seçeneğini seçin ve Start diagnosis tıklayın.

    4. Not edilen örnek kimliğini ve elastik ağ arayüzünü seçin. Hizmet bağlantı noktası için bir tanılama yöntemi belirleyin, Check tıklayın ve tanılama sonuçlarını inceleyin.

      • Tek tıklamayla algılama: 80, 443, 22, 3389 veya 8080 bağlantı noktaları için bu yöntemi kullanın.

      • Özel algılama: Diğer tüm bağlantı noktaları için bu yöntemi kullanın. Aşağıdaki bilgileri girmeniz gerekir:

        • Kaynak adres: Yerel makinenizin veya istemcinizin genel IP adresini girin.

        • Hedef bağlantı noktası: Hizmet tarafından kullanılan bağlantı noktası numarasını girin.

        • Protokol türü: Bağlantı noktasının protokolünü seçin.

    Bir örnekten giden curl istekleri başarısız olursa ne yapmalıyım?

    Bir ECS örneği harici bir hizmete erişmek için curl kullandığınızda bağlanamazsa sorunu aşağıdaki gibi giderin.

    1. Ana bilgisayar güvenlik duvarının giden kurallarını denetleyin. 80 veya 443 numaralı bağlantı noktasını engelleyen bir kural olup olmadığını kontrol etmek için iptables -L OUTPUT veya firewall-cmd --list-all komutunu çalıştırın.

    2. Giden güvenlik grubu kurallarını denetleyin. ECS konsolundaki Güvenlik Grupları sayfasında giden kuralları görüntüleyin ve 80 veya 443 numaralı bağlantı noktasını engelleyen bir reddetme kuralı olup olmadığını kontrol edin. Bir güvenlik grubundaki reddetme kuralı bağlantının zaman aşımına uğramasına (Connection timed out) neden olur; bu durum Connection reset by peer hatasından farklıdır.

    3. Farklı bir hedef adresle test edin. Farklı bir adrese erişmek için curl -v komutunu çalıştırın. Bazı adresler çalışıyorsa hedefin ECS örneğinin IP adresinden gelen erişimi kısıtlamadığını veya curl kullanıcı aracısını engellemediğini kontrol edin.

    Güvenlik grupları ile ağ ACL'leri karşılaştırması


    Özellik


    Güvenlik grubu


    Ağ ACL'si


    Kapsam


    Elastik ağ arayüzü


    Alt ağ


    Durum bilgisi


    Durum bilgisi tutan


    Durum bilgisi tutmayan


    Amaç


    Örnekler için ayrıntılı düzeyde güvenlik duvarı


    Alt ağlar için sınır erişim denetimi

    Birincil ENI güvenlik grubu

    Güvenlik grupları bir ECS örneğinin elastik ağ arayüzlerine uygulanır. Bir örneğin birincil ağ arayüzü için güvenlik grubu, örnek ayrıntıları sayfasının Güvenlik Grubu sekmesinde yapılandırılır. Birincil ağ arayüzü için güvenlik grubunu değiştirmek üzere bkz. Mevcut bir örnekle güvenlik grubu ilişkilendirme.

    Dahili Alibaba Cloud erişimine izin verme

    100.64.0.0/10 CIDR bloğundan gelen erişime izin vermek için bir gelen güvenlik grubu kuralı ekleyin. Alibaba Cloud bu ayrılmış adres bloğunu sağlık kontrollerini çalıştırmak ve örnek kullanılabilirliğini izlemek için kullanır.

    Bir güvenlik grubu beyaz listesi yapılandırdıktan sonra yetkisiz IP taramaları hâlâ gelen trafik oluşturur mu?

    Evet. Bir güvenlik grubu veri paketlerini ağ katmanında filtreler; beyaz liste yalnızca bir bağlantının izin verilip verilmediğini denetler, paketin örneğinizin ağ kenarına ulaşıp ulaşmadığını değil. Yetkisiz bir IP adresi tarafından gönderilen TCP SYN paketleri güvenlik grubu bunları bırakmadan önce Elastik Hesaplama Hizmeti (ECS) örneğinizin ağ kenarına ulaşır, dolayısıyla bu trafik hâlâ gelen trafik olarak sayılır. Gelen İnternet trafiği faturalandırılmaz. Büyük hacimli tarama veya araştırma trafiği alıyorsanız bunu dış ağ katmanında engellemek için Anti-DDoS Basic veya Cloud Firewall kullanabilirsiniz.

    İlgili belgeler