VPC セキュリティー・グループの作成および管理

仮想プライベートクラウド 4.15 そしてその後

クラスター作成時のセキュリティー・グループの追加

VPC クラスターを作成すると、 kube-<clusterID> という名前のデフォルトのワーカー・セキュリティー・グループが自動的に作成され、クラスター内のすべてのワーカーに適用されます。 デフォルトのワーカー・セキュリティー・グループに加えて、追加のセキュリティー・グループを付加することもできます。 クラスタ内のワーカーに適用されるセキュリティグループは、クラスタの作成時およびワーカープールの作成時に適用されたセキュリティグループを組み合わせたものです。 クラスターには、合計5つのセキュリティグループを適用できます。

クラスターに適用したセキュリティー・グループは、クラスターの作成後に変更することはできません。 クラスタに適用されているセキュリティグループのルールを変更することはできますが、クラスタレベルでセキュリティグループを追加または削除することはできません。 クラスターの作成時に誤ったセキュリティー・グループを適用した場合は、クラスターを削除して新しいクラスターを作成する必要があります。

デフォルトのセキュリティグループのみを使用したい場合は

クラスターの作成時には、追加のセキュリティー・グループを指定しないでください。

 ibmcloud oc cluster create vpc-gen2 --name CLUSTER-NAME --zone ZONE --vpc-id VPC-ID --subnet-id SUBNET-ID

セキュリティー・グループの表示

VPC セキュリティー・グループに関する詳細を表示するには、以下の手順を実行します。

  1. クラスタの一覧を表示し、現在作業しているクラスタの ID をメモしておいてください。

    クラスターがどの VPC にあるかを確認するには、ibmcloud oc cluster get --cluster <cluster_name_or_id> を実行し、出力で VPC ID を確認します。

    ibmcloud oc cluster ls --provider vpc-gen2

  2. クラスターが存在する VPC に接続されているセキュリティー・グループをリストします。 VPC セキュリティー・グループには、ランダムに生成された名前 (trench-hexagon-matriarch-flower など) が割り当てられます。 クラスタのセキュリティグループは、「 kube-<cluster-ID> 」という形式で命名されています。

    ibmcloud is sgs | grep <vpc_name>

    出力例

    ID                                          Name                                             Rules   Network interfaces   VPC                          Resource group   
r006-111aa1aa-1a1a-1a11-1111-a111aaa1a11a   trench-hexagon-matriarch-flower                    4       0                    my-vpc                      default   
r006-222aa2aa-2a2a-2a22-2222-a222aaa2a22a   kube-a111a11a11aa1aa11a11                          4       0                    my-vpc                      default   
r006-333aa3aa-3a3a-3a33-3333-a333aaa3a33a   kube-r006-111a11aa-aaa1-1a1a-aa11-1a1a111aa11      4       0                    my-vpc                      default

  3. セキュリティー・グループの詳細を取得します。 出力で**「ルール」**セクションを見つけて、セキュリティー・グループに関連付けられているインバウンド・ルールとアウトバウンド・ルールを確認します。

    ibmcloud is sg GROUP

    出力例

    ...
Rules      
ID                                          Direction   IP version   Protocol                  Remote   
r006-111bb1bb-1b1b-1b11-1111-b111bbb1b11b   outbound    ipv4         all                       0.0.0.0/0   
r006-222bb2bb-2b2b-2b22-2222-b222bbb2b22b   inbound     ipv4         all                       behind-unbuilt-guidable-anthill   
r006-333bb3bb-3b3b-3b33-3333-b333bbb3b33b   inbound     ipv4         icmp Type=8               0.0.0.0/0   
r006-444bb4bb-4b4b-4b44-4444-b444bbb4b44b   inbound     ipv4         tcp Ports:Min=22,Max=22   0.0.0.0/0

コンソールでのセキュリティー・グループの表示

  1. 「VPC のセキュリティグループ」ダッシュボードから、クラスターが属する VPC にアタッチされているセキュリティグループを探します。

  2. セキュリティグループをクリックします。

    接続先の VPC でセキュリティー・グループをソートするには、表の**「仮想プライベート・クラウド」**列見出しをクリックします。

  3. セキュリティー・グループに関連付けられたインバウンド・ルールおよびアウトバウンド・ルールを表示するには、**「ルール」**タブをクリックします。

コンソールでのセキュリティー・グループのルールの作成

  1. 仮想プライベートクラウド（VPC）のダッシュボードで、クラスターが属するVPCの「 デフォルトのセキュリティグループ 」の名前をクリックします。

  2. **「ルール」**タブをクリックします。

    • ワーカー・ノードへのインバウンド・トラフィックを制御する新しいインバウンド・ルールを作成するには、インバウンド・ルールセクションで 作成をクリックします。
    • ワーカーノードへのアウトバウンドトラフィックを制御する新しいルールを作成するには、「 アウトバウンドルール 」セクションで「 作成 」をクリックします。

    ルールを追加した後、コンソールからのすべてのアウトバウンドトラフィックを許可するデフォルトを削除しないでください。 代わりに、CLIから ibmcloud is security-group-rule-delete コマンドを実行してルールを削除する。

コマンド行でのセキュリティー・グループ・ルールの作成

IBM Cloud の CLI を使用して、クラスターのデフォルトのセキュリティー・グループにインバウンド・ルールとアウトバウンド・ルールを追加できます。

  1. infrastructure-service プラグインをインストールします。 コマンドを実行するための接頭部は、ibmcloud is です。
    ibmcloud plugin install infrastructure-service
  2. VPC が存在するリージョンをターゲットにします。
    ibmcloud target -r REGION
  3. クラスターの ID を確認します。
    ibmcloud oc cluster get -c CLUSTER
  4. セキュリティ・グループをリストアップし、 IDを記録する。
    ibmcloud is sgs
    ランダムに生成された名前 chamomile-dislodge-showier-unfilledの VPC のデフォルト・セキュリティー・グループを使用した出力例。
    ID                                          Name                                       Rules   Network interfaces   VPC          Resource group
1a111a1a-a111-11a1-a111-111111111111        chamomile-dislodge-showier-unfilled        5       2                    events-vpc   default
2b222b2b-b222-22b2-b222-222222222222        kube-df253b6025d64744ab99ed63bb4567b6      5       3                    gen2-vpn     default
  5. セキュリティー・グループの ID を環境変数として格納します。
    sg=GROUP
  6. セキュリティー・グループのデフォルト・ルールを確認します。
    ibmcloud is sg $sg

        ibmcloud is sg-rulec $sg inbound <protocol> [--remote <remote_address> | <CIDR_block> | <security_group_ID>] [--icmp-type <icmp_type> [--icmp-code <icmp_code>]] [--port-min <port_min>] [--port-max <port_max>]
    ```

* アウトバウンド・トラフィック・ルールを作成するには、[`ibmcloud is sg-rulec <sg> outbound`コマンド](/docs/vpc?topic=vpc-creating-vpc-resources-with-cli-and-api&interface=cli#add-rules-to-default-security-group)を使用します。

```sh {: pre}
    ibmcloud is sg-rulec $sg outbound <protocol> [--remote <remote_address> | <CIDR_block> | <security_group_ID>] [--icmp-type <icmp_type> [--icmp-code <icmp_code>]] [--port-min <port_min>] [--port-max <port_max>]
    ```
    1. カスタム・アウトバウンド・ルールを作成した後、すべてのアウトバウンド・トラフィックを許可するデフォルト・ルールの ID を取得します。

        ```sh {: pre}
        ibmcloud is sg $sg
        ```
        出力例
        ```sh {: screen}
        Rules
        ID                                          Direction   IP version   Protocol                        Remote
        r010-e3a34cbb-d5e8-4713-a57e-3e35a7458272   inbound     ipv4         all                             freeload-flavored-surging-repaying
        r010-036c3a13-1c16-4425-9667-a4ec34b1702b   inbound     ipv4         icmp Type=8                     0.0.0.0/0
        r010-15591636-6976-493f-a94f-70721702860a   inbound     ipv4         tcp Ports:Min=22,Max=22         0.0.0.0/0
        ```
    1. すべてのアウトバウンド・トラフィックを許可するデフォルトのルールを削除します。

        ```sh {: pre}
        ibmcloud is security-group-rule-delete $sg <rule_ID>
        ```