보안 그룹 정보

할당량 고려 사항:

사용자가 만든 각 보안 그룹은 최대 1,000개의 대상을 지원합니다. VPC의 모든 대상에 자동으로 적용되는 기본 보안 그룹은 이 1,000개 대상 제한의 적용을 받지 않습니다. 이 동작은 기본 보안 그룹에 대한 자동 할당이 프로비저닝을 제한하지 않도록 합니다.

Rules

• 각 보안 그룹은 가상 네트워크 인터페이스의 수신 및 발신 트래픽을 정의하는 서로 다른 네트워크 규칙 집합을 정의합니다.
• 보안 그룹 규칙은 허용적일 수만 있습니다. 기본적으로 트래픽은 차단됩니다.
• 보안 그룹 규칙에 대한 변경사항은 자동으로 적용되며 언제든지 수정할 수 있습니다.
• 보안 그룹 내 규칙의 순서는 중요하지 않습니다. 우선순위는 항상 가장 덜 제한적인 규칙으로 돌아갑니다.
• 규칙은 Stateful입니다. 보안 그룹 변경 이전에 설정된 연결은 변경되지 않습니다. 새 연결은 연결이 설정되는 시점에 존재하는 규칙을 준수합니다.
• 보안 그룹은 가상 서버 인스턴스 또는 베어 메탈 서버에서 운영 체제 방화벽을 재정의하지 않습니다. 보안 그룹에 의해 적용되는 것보다 더 제한적인 방화벽이 운영 체제에 존재하는 경우에도 운영 체제 규칙이 계속 적용됩니다.
• 가상 서버 인스턴스나 베어 메탈 서버에서 업데이트 서버, 네트워크 연결 스토리지(NAS) 또는 고급 모니터링과 같은 내부 서비스에 액세스해야 하는 경우, 해당 내부 서비스에 대한 트래픽이 보안 그룹 규칙을 통해 허용되도록 설정해야 합니다.

대상

• 보안 그룹은 여러 대상에 연결될 수 있습니다.
• 하나 이상의 보안 그룹을 다음에 연결할 수 있습니다:
  • 가상 네트워크 인터페이스
  • 인스턴스 네트워크 인터페이스
  • 베어 메탈 서버의 네트워크 인터페이스
  • 엔드포인트 게이트웨이
  • 로드 밸런서
  • VPN 서버.
• 첨부된 보안 그룹의 모든 규칙이 대상에 일괄 적용됩니다.
• 여러 보안 그룹이 연결된 경우, 모든 그룹에서 가장 제한이 적은 규칙에 따라 트래픽이 허용되거나 차단됩니다.

유스 케이스 1: 자원의 기본 보안 그룹 변경

모든 VPC에는 사용자에 대해 작성되는 보안 그룹인 기본 보안 그룹이 있습니다. 해당 기본 보안 그룹에도 기본 규칙이 있습니다. 이 기본 규칙은 규칙을 추가하거나 제거하여 보안 그룹의 설정을 사용자 정의하기 전에 사용자가 작성하는 보안 그룹에 지정되는 동일한 기본 규칙입니다.

기본 보안 그룹은 새 보안 그룹의 기본 규칙과 다릅니다. 기본 보안 그룹의 규칙과 새 보안 그룹에 할당되는 기본 규칙을 모두 사용자 지정할 수 있습니다.

예를 들어, 여러분이 조직의 일원이라고 가정해 보십시오. 조직 계정에 접근 권한이 있는 누군가가 기본 보안 그룹의 규칙을 수정합니다. 수정 후 규칙은 새 보안 그룹을 생성할 때 적용되는 기본 규칙과 다릅니다. 팀 구성원은 매우 보안에 민감한 고객이며 모든 인바운드 및 아웃바운드 네트워크 트래픽을 거부하도록 기본 보안 그룹 설정을 변경합니다.

이 예시에서 리소스를 생성하면, 해당 리소스는 초기 상태에서 VPC의 기본 보안 그룹에 할당됩니다. 이 기본 보안 그룹의 규칙은 보안에 민감한 팀원이 설정한 거부 규칙으로 인해 모든 인바운드 및 아웃바운드 네트워크 트래픽을 차단합니다. 결과적으로, 새 리소스로의 트래픽과 새 리소스에서 나오는 트래픽 모두 동일한 거부 동작이 적용됩니다.

기본 보안 그룹 규칙에 불만이 있다면, 해결책 중 하나는 사용자 지정 설정이 적용된 다른 보안 그룹을 생성하여 해당 리소스에 적용하는 것입니다. 또 다른 솔루션은 기본 보안 그룹에서 규칙을 변경하는 것입니다. 사용자 지정 설정을 적용한 다른 보안 그룹을 생성하는 것이 가장 쉬운 해결책입니다. 원하는 단일 리소스에 적용할 규칙을 만들 수 있기 때문입니다. 기본 보안 그룹의 규칙을 변경하면, 이러한 변경 사항은 영향을 주고자 하는 리소스뿐만 아니라 기본 보안 그룹에 할당된 다른 모든 리소스에도 적용됩니다.

기본 보안 그룹에 생성하는 모든 새 규칙은 기본 보안 그룹에 할당된 현재 및 향후 모든 리소스에 적용됩니다.

기본 보안 그룹 업데이트에 대한 자세한 정보는 기본 보안 그룹 규칙 업데이트 를 참조하십시오.

사용 사례 2: 프로비저닝 시 보안 그룹 및 규칙 사용자 지정

다음 다이어그램은 새 자원을 작성할 때 가능한 사용자 정의 옵션을 보여줍니다. 사용자가 리소스를 생성한 후 이를 연결할 보안 그룹을 지정하기 위한 추가 조치를 취하지 않으면, 새로 생성된 리소스는 VPC의 기본 보안 그룹에 할당됩니다. 이 기본 보안 그룹은 기본 보안 그룹 규칙을 적용하거나 계정 구성원이 이전에 구성한 사용자 지정 규칙을 따릅니다.

사용자가 새 리소스를 새 보안 그룹에 할당하기로 결정하면, 새 보안 그룹이 기본 보안 그룹 규칙에 자동으로 할당됩니다. 그런 다음 사용자는 추가 조치를 취하지 않거나, 규칙을 사용자 지정하여 새 보안 그룹에 대한 사용자 지정 보안 그룹 규칙을 생성할 수 있습니다. 이러한 새 규칙은 작성되어 새 보안 그룹에 지정된 새 자원에도 적용됩니다.

{: caption="생성 시 보안 그룹 및 보안 그룹 규칙 사용자 지정 옵션새 리소스 생성 시 보안 그룹 및 보안 그룹 규칙 사용자 지정 옵션새 리소스 생성 시 보안 그룹 및 보안 그룹 규칙 사용자 지정 " caption-side="bottom"}

유스 케이스 3: 보안 그룹의 구성원 간 트래픽 허용

보안 그룹을 설정하는 보다 일반적인 방법은 IP 주소 및 포트별로 필터링하는 특정 규칙을 사용하여 대상 간의 트래픽을 제어하는 것입니다.

보안 그룹을 설정하는 보다 동적인 방법은 동일한 보안 그룹에 속한 다른 대상에서 오는 모든 인바운드 트래픽을 허용하는 것입니다. 보안 그룹 구성원 간 트래픽을 허용할 때는 보안 그룹의 기존 구성원과 신규 구성원 각각 사이에 개별 권한을 설정할 필요가 없습니다. 보안 그룹에서 리소스가 추가되거나 삭제될 때, 해당 권한은 모든 구성원에게 적용됩니다.

예를 들어, 보안 그룹에 호스트 A와 호스트 B가 있고, 여기에 호스트 C를 추가할 수 있습니다. 보안 그룹에 호스트 C를 추가한 후에는 일반적으로 호스트 A와 호스트 B가 호스트 C로 트래픽을 주고받을 수 있도록 유지 관리를 수행해야 합니다.

이 프로세스를 더 쉽게 수행하기 위해 그룹의 다른 구성원에서 모든 트래픽을 허용하는 규칙을 정의할 수 있습니다. 그런 다음 그룹에서 구성원을 추가하거나 제거하면 규칙이 자동으로 변경되어 그룹 구성원 간에 서로 트래픽을 전송할 수 있도록 허용합니다.

다음은 해당 보안 그룹의 멤버 간 모든 트래픽을 허용하기 위해 보안 그룹에서 규칙을 정의하기 위한 UI 지시사항입니다.

1. 브라우저에서 IBM Cloud 콘솔을 여십시오.
2. 탐색 메뉴 선택한 다음 인프라 > 네트워크 > 보안 그룹을 클릭합니다.
3. '보안 그룹'에서 수정하려는 보안 그룹 개체를 선택합니다.
4. 인바운드 규칙 테이블에서 '생성 +'을 클릭하세요. 인바운드 규칙 작성 창이 표시됩니다.
5. 프로토콜 섹션에서 TCP-UDP-ICMP 을 선택합니다.
6. 소스 유형 섹션에서 보안 그룹을 선택하십시오.
7. 작성 을 클릭하여 이러한 변경사항을 적용하십시오.