Richtlinien für Sicherheitsgruppen

Bei der Arbeit mit IBM™ Cloud Security Groups sind die nachfolgend aufgeführten Richtlinien zu beachten.

Rules

  • Jede Sicherheitsgruppe definiert unterschiedliche Gruppen von Netzregeln, die den eingehenden und abgehenden Datenverkehr für eine Virtual Server-Instanz definieren. Sie können Regeln sowohl für IPv4 als auch für IPv6 angeben.
  • Das Standardverhalten beim Erstellen einer neuen Sicherheitsgruppe mithilfe der IBM Cloud-Konsole sieht vor, dass eine einzelne Regel erstellt wird, die den gesamten abgehenden Datenverkehr von der Virtual Server-Instanz zulässt. Sie müssen das Kontrollkästchen "Gruppe mit einer Standardregel erstellen, um allen ausgehenden Datenverkehr zuzulassen" deaktivieren, um die Sicherheitsgruppe ohne Regeln zu erstellen. Eine Sicherheitsgruppe ohne Regeln blockiert sämtlichen Datenverkehr (sowohl eingehenden als auch abgehenden).
  • Um eingehenden Datenverkehr, abgehenden Datenverkehr oder beide Arten von Datenverkehr zuzulassen, müssen Sie mindestens eine Sicherheitsgruppe hinzufügen, die Sicherheitsgruppenregeln enthält, durch die Datenverkehr zulässig ist.
  • Die Regeln für Sicherheitsgruppen können permissiv sein und der Verkehr wird standardmäßig blockiert.
  • Benutzer mit der Berechtigung zum Verwalten von Sicherheitsgruppen können Regeln in einer Sicherheitsgruppe hinzufügen, bearbeiten oder löschen.
  • Änderungen an Sicherheitsgruppenregeln werden automatisch angewendet und können jederzeit geändert werden.
  • Die Reihenfolge der Regeln in einer Sicherheitsgruppe spielt keine Rolle. Vorrang hat jeweils die am wenigsten einschränkende Regel.
  • Die Regeln sind zustandsabhängig. Verbindungen, die vor einer Änderung der Sicherheitsgruppe hergestellt wurden, werden nicht geändert. Neue Verbindungen entsprechen den Regeln, die zu der Zeit vorhanden sind, zu der die Konnektivität etabliert wird.
  • Sicherheitsgruppen setzen die Firewalls des Betriebssystems auf dem virtuellen Server nicht außer Kraft. Selbst wenn auf dem Betriebssystem eine restriktivere Firewall vorhanden ist als die von der Sicherheitsgruppe angewandte, werden die Regeln des Betriebssystems trotzdem durchgesetzt.
  • Wenn Ihr virtueller Server Zugriff auf interne Dienste benötigt, wie z. B. einen Update-Server, Network Attached Storage (NAS) oder eine erweiterte Überwachung, stellen Sie sicher, dass die Sicherheitsgruppenregeln den Datenverkehr für diese internen Dienste berücksichtigen. Weitere Informationen finden Sie unter Grenzwerte für IBM Cloud-IP.

Schnittstellen

  • Eine Sicherheitsgruppe kann auf ein privates Netz, ein öffentliches Netz oder auf beide Netzschnittstellentypen angewendet werden.
  • Sie können an die Liste mit Sicherheitsgruppen, die einer Netzschnittstelle zugeordnet sind, mindestens eine Sicherheitsgruppe anhängen. Die Sicherheitsgruppenregeln der einzelnen Sicherheitsgruppen gelten für die zugeordneten Virtual Server-Instanzen.
  • Beim erstmaligen Zuordnen einer vorhandenen Sicherheitsgruppe zu einer Netzschnittstelle (öffentlich oder privat) ist für jede der Schnittstellen ein Neustart erforderlich. Wenn die öffentlichen und privaten Schnittstellen der Sicherheitsgruppe jedoch gleichzeitig zugeordnet wurden, ist nur ein einziger Neustart erforderlich. Nach einem Neustart werden Änderungen automatisch angewendet.

Zugriff

  • Alle Benutzer in einem Konto können Sicherheitsgruppen auf den Instanzen des virtuellen Servers, auf die sie Zugriff haben, lesen, anhängen und abhängen. Nur Benutzer mit der Berechtigung "Sicherheitsgruppen verwalten" unter Netzwerkberechtigungen können Sicherheitsgruppen erstellen, aktualisieren und löschen.
  • Bare-Metal-Servern können Sie keine Sicherheitsgruppen zuordnen.

Löschung

  • Sie können eine Sicherheitsgruppe, die mindestens einer aktiven Virtual Server-Instanz zugeordnet ist, nicht löschen.
  • Sie können eine Sicherheitsgruppe, auf die eine andere Sicherheitsgruppe in mindestens einer ihrer Regeln verweist, nicht löschen.