セキュリティー・グループについて

Rules

• 各セキュリティグループは、仮想ネットワークインターフェースの着信および発信トラフィックを定義する、異なるネットワークルールのセットを定義します。
• インバウンド・トラフィック、アウトバウンド・トラフィック、あるいはその両方を許可するには、トラフィックを許可するセキュリティー・グループ・ルールを含んでいるセキュリティー・グループを 1 つ以上追加する必要があります。
• セキュリティグループのルールは許可のみに設定できます。 トラフィックはデフォルトでブロックされます。
• セキュリティー・グループ・ルールの変更は自動的に適用され、いつでも変更できます。
• セキュリティグループ内のルールの順序は重要ではありません。 制限が最も少ないルールが常に優先されます。
• ルールはステートフルです。 セキュリティー・グループの変更の前に確立された接続は、変更されません。 新規の接続は、接続確立時に存在したルールに従います。
• セキュリティー・グループは、仮想サーバー上のオペレーティング・システムのファイアウォールをオーバーライドしません。 セキュリティー・グループによって適用されるルールよりも制限的なファイアウォールがオペレーティング・システム上に存在する場合でも、オペレーティング・システムのルールが引き続き適用されます。
• 仮想サーバーが更新サーバー、ネットワーク接続ストレージ（NAS）、高度な監視などの内部サービスへのアクセスを必要とする場合、セキュリティグループのルールがそれらの内部サービスへのトラフィックに対応していることを確認してください。

インターフェース

• 1つ以上のセキュリティグループをネットワークインターフェイスにアタッチできます。
• 添付のセキュリティグループからのすべてのルールが、インターフェイスにまとめて適用されます。
• 複数のセキュリティグループがアタッチされている場合、すべてのグループにわたる最も制限の緩いルールに基づいてトラフィックが許可またはブロックされます。

ユース・ケース 1: リソースのデフォルト・セキュリティー・グループの変更

すべての VPC にはデフォルトのセキュリティー・グループがあります。これは、ユーザー用に作成されるセキュリティー・グループです。 そのデフォルト・セキュリティー・グループには、デフォルト・ルールもあります。 このデフォルト・ルールは、ルールを追加または削除してセキュリティー・グループの設定をカスタマイズする前に作成するセキュリティー・グループに割り当てられるデフォルト・ルールと同じです。

デフォルト・セキュリティー・グループは、新規セキュリティー・グループのデフォルト・ルールとは異なります。 デフォルトのセキュリティグループ上のルールと、新規セキュリティグループに割り当てられるデフォルトルールの両方をカスタマイズできます。

例えば、あなたが組織の一員であり、 アカウントのアカウントへのアクセス権を持つ誰かがデフォルトのセキュリティグループのルールを変更したと想像してください。 変更後、このルールは新しいセキュリティグループを作成した際にデフォルトで適用されるルールとは異なります。 チーム・メンバーは、非常にセキュリティー意識の高いお客様であり、インバウンドとアウトバウンドのすべてのネットワーク・トラフィックを拒否するようにデフォルトのセキュリティー・グループ設定を変更します。

この例では、リソースを作成すると、最初はVPCのデフォルトのセキュリティグループに割り当てられます。 このデフォルトのセキュリティグループのルールは、セキュリティ意識の高いチームメンバーが設定した拒否ルールにより、すべての受信および送信ネットワークトラフィックを拒否します。 その結果、新しいリソースへのトラフィックとそこから発信されるトラフィックには、同じ拒否動作が適用されます。

デフォルトのセキュリティグループルールに不満がある場合、解決策の一つは、カスタマイズされた設定を持つ別のセキュリティグループを作成し、それをリソースに適用することです。 もう 1 つの解決策は、デフォルト・セキュリティー・グループのルールを変更することです。 別のセキュリティグループをカスタマイズ設定で作成するのが最も簡単な解決策です。なぜなら、影響を与えたい単一のリソースに適用するルールを作成できるからです。 デフォルトのセキュリティグループのルールを変更すると、その変更は影響を与えたい対象リソースだけでなく、デフォルトのセキュリティグループに割り当てられている他のすべてのリソースにも適用されます。

デフォルトのセキュリティグループに作成する新規ルールは、デフォルトのセキュリティグループに割り当てられる現在および将来のすべてのリソースに適用されます。

デフォルトのセキュリティー・グループの更新について詳しくは、 デフォルトのセキュリティー・グループ・ルールの更新 を参照してください。

ユースケース2: プロビジョニング時のセキュリティグループとルールのカスタマイズ

以下の図は、新規リソースを作成するときに選択可能なカスタマイズ・オプションを示しています。 ユーザーがリソースを作成し、それをアタッチするセキュリティグループを指定する追加操作を行わない場合、その新規リソースはVPCのデフォルトセキュリティグループに割り当てられます。 このデフォルトのセキュリティグループは、デフォルトのセキュリティグループルールを継承するか、またはアカウントのメンバーによって事前に設定されたカスタムルールに従います。

ユーザーが新しいリソースを新しいセキュリティグループに割り当てることを選択した場合、新しいセキュリティグループは自動的にデフォルトのセキュリティグループルールに割り当てられます。 その後、ユーザーはそれ以上の操作を行わないか、ルールをカスタマイズして新しいセキュリティグループ用のカスタムセキュリティグループルールを作成するかを選択できます。 これらの新しい規則は、作成され、新しいセキュリティー・グループに割り当てられた新しいリソースにも適用されます。

ユース・ケース 3: セキュリティー・グループのメンバー間のトラフィックを許可する

セキュリティー・グループをセットアップするより一般的な方法は、IP アドレスとポートでフィルタリングする特定の規則を使用して、ターゲットとの間のトラフィックを制御することです。

セキュリティグループを設定するより動的な方法は、同じセキュリティグループに属する他のターゲットからのすべての着信トラフィックを許可することです。 セキュリティグループのメンバー間でトラフィックを許可する場合、セキュリティグループの現在のメンバーと新規メンバーのそれぞれに対して個別に権限を設定する必要はありません。 セキュリティグループからリソースが追加または削除されると、その権限はすべてのメンバーに適用されます。

たとえば、セキュリティグループにホストAとホストBが存在し、そこにホストCを追加することができます。 通常、ホスト C をセキュリティグループに追加した後、ホスト A とホスト B がホスト C との間でトラフィックを送受信できるようにするには、メンテナンスを実行する必要があります。

このプロセスを容易にするために、グループの別のメンバーからのトラフィックである限り、すべてのトラフィックを許可するルールを定義できます。 その後、グループからメンバーを追加または削除すると、ルールが自動的に変更され、グループのメンバー同士が相互にトラフィックを送信できるようになります。

以下は、セキュリティー・グループ内のルールを定義して、そのセキュリティー・グループのメンバー間のすべてのトラフィックを許可するための UI の説明です。

1. ブラウザーから、 IBM Cloud コンソールを開きます。
2. ナビゲーション メニュー を選択し、 インフラストラクチャ > ネットワーク > セキュリティ グループをクリックします。
3. セキュリティグループで、変更したいセキュリティグループオブジェクトを選択します。
4. インバウンド規則テーブルで 「作成 +」 をクリックします。 「インバウンド・ルールの作成」 ウィンドウが表示されます。
5. プロトコルセクションで、 TCP-UDP-ICMP を選択してください。
6. 「ソース・タイプ」 セクションで、 「セキュリティー・グループ」 を選択します。
7. 「作成」 をクリックして、これらの変更を適用します。