セキュリティグループルールを承認および取り消し、セキュリティグループに参加および脱退する方法-Linuxの運用と保守-php.cn

この記事は、セキュリティグループの承認、取り消し、およびセキュリティグループへの参加と脱退の方法について説明しています。必要な方は参考にしていただければ幸いです。。

この記事では、セキュリティグループの次の内容を紹介します:

セキュリティグループルールの承認と取り消し。

セキュリティグループに参加し、セキュリティグループから脱退します。

Alibaba Cloud のネットワークタイプは、クラシックネットワークと VPC に分かれており、セキュリティグループのさまざまな設定ルールをサポートしています:

クラシックネットワークの場合は、次のルールを設定できます: イントラネットアクセス方向。、イントラネット送信方向、パブリックネットワーク受信方向、およびパブリックネットワーク送信方向。

VPC ネットワークの場合は、受信方向と送信方向を設定できます。

#セキュリティグループイントラネット通信の概念

この記事を始める前に、セキュリティグループイントラネット通信の次の概念を理解しておく必要があります。

デフォルトでは、同じセキュリティグループ内の ECS インスタンスのみがネットワーク経由で相互に通信できます。同じアカウントの ECS インスタンスが異なるセキュリティグループに属している場合でも、イントラネットネットワークにはアクセスできません。これは、クラシックネットワークと VPC ネットワークの両方に適用されます。したがって、クラシックネットワークの ECS インスタンスもイントラネットに対して安全です。

同じセキュリティグループに属さない 2 つの ECS インスタンスがあり、それらがイントラネット上で相互に通信できないことを望んでいるが、実際には通信している場合は、イントラネットルールの設定を確認する必要があります。セキュリティグループの。イントラネットプロトコルに以下のプロトコルが存在する場合は、再設定することをお勧めします。

すべてのポートを許可します。

認可オブジェクトは CIDR ネットワークセグメント (SourceCidrIp): 0.0.0.0/0 または 10.0.0.0/8 ルールです。

クラシックネットワークの場合、上記のプロトコルによりイントラネットが他のアクセスにさらされることになります。

異なるセキュリティグループのリソース間でネットワーク通信を実現したい場合は、セキュリティグループ承認を使用する必要があります。イントラネットアクセスの場合は、CIDR セグメント承認の代わりにソースセキュリティグループ承認を使用する必要があります。

セキュリティルールの属性

セキュリティルールは主に、次の属性を含むさまざまなアクセス権を記述します。

ポリシー: 承認ポリシーのパラメータ値は、accept (受け入れ) またはdrop (拒否) です。

優先度: 優先度。セキュリティグループルールの作成時間に従って一致を降順で並べ替えます。ルール優先度のオプションの範囲は 1 ～ 100 で、デフォルト値は 1 で、これが最も高い優先度です。数値が大きいほど優先度は低くなります。

NicType: ネットワークの種類。 SourceCidrIp を指定せずに SourceGroupId のみを指定した場合、セキュリティグループを通じて認証が行われることを意味します。この場合、NicType はイントラネットとして指定する必要があります。

ルールの説明:

IpProtocol: IP プロトコル、値: udp | icmp | all はすべてのプロトコルを意味します。

PortRange: IP プロトコル関連のポート番号の範囲:

IpProtocol が tcp または udp の場合、ポート番号の範囲は 1 ～ 65535 であり、形式は「開始ポート番号/」である必要があります。「1/200」などの「ポート番号」は、ポート番号の範囲が 1 ～ 200 であることを意味します。入力値が「200/1」の場合、インターフェイス呼び出しはエラーを報告します。

IpProtocol 値が icmp、gre、または all の場合、ポート番号の範囲は -1/-1 であり、ポート制限がないことを意味します。

セキュリティグループを通じて承認される場合は、ソースセキュリティグループ ID である SourceGroupId を指定する必要があります。このとき、アカウント間で承認するかどうかに応じて、ソースセキュリティグループが属するアカウント SourceGroupOwnerAccount を設定することを選択できます。

CIDR を通じて承認される場合は、SourceCidrIp、つまりソース IP を指定する必要があります。アドレスセグメント。CIDR 形式を使用する必要があります。

#ネットワークアクセスリクエストルールを承認するコンソールまたは API を通じてセキュリティグループを作成する場合、ネットワークアクセスの方向はデフォルトですべて拒否されます。これがデフォルトの状況です。次に、すべてのネットワークアクセス要求を拒否します。これはすべての状況に当てはまるわけではないため、アクセスルールを適切に構成する必要があります。

たとえば、外部に HTTP サービスを提供するためにパブリックネットワークのポート 80 を開く必要がある場合、それはパブリックネットワークアクセスであるため、できるだけネットワークにアクセスしたいため、 IP ネットワークセグメントに制限はありません。具体的な設定については、括弧の外側にあるコンソールパラメーターと、括弧内にある OpenAPI パラメーターを参照してください。は同じなので、区別はされません。

ネットワークカードタイプ (NicType): パブリックネットワーク (インターネット)。 VPC タイプの場合は、イントラネットに入力し、EIP 経由でパブリックネットワークアクセスを実現するだけです。

認可ポリシー (ポリシー): 許可 (受け入れ)。

ルールの方向 (NicType): ネットワークへ。

プロトコルタイプ (IpProtocol): TCP (tcp)。

ポート範囲 (PortRange): 80/80。

認可オブジェクト (SourceCidrIp): 0.0.0.0/0。

優先度: 1.

注: 上記の提案は、パブリックネットワークにのみ有効です。イントラネット要求に CIDR ネットワークセグメントを使用することはお勧めできません。クラシックネットワークのイントラネットセキュリティグループルールを参照してください。CIDR または IP 認証は使用しないでください。

受信リクエストルールをブロックするルールを禁止する場合、必要なのは拒否ポリシーを構成し、優先度を低く設定することだけです。このようにして、必要に応じて他の優先度の高いルールを設定してこのルールをオーバーライドできます。たとえば、次の設定を使用して、ポート 6379 へのアクセスを拒否できます。

ネットワークカードタイプ (NicType): イントラネット。

認可ポリシー (ポリシー): 拒否 (ドロップ)。

ルールの方向 (NicType): ネットワークへ。

プロトコルタイプ (IpProtocol): TCP (tcp)。

ポート範囲 (PortRange): 6379/6379。

認可オブジェクト (SourceCidrIp): 0.0.0.0/0。

優先度: 100。

クラシックネットワークのイントラネットセキュリティグループルールには CIDR または IP 認証を使用しないでください

クラシックネットワークの ECS インスタンスの場合、Alibaba Cloud は使用しません。デフォルトで有効にします。任意のイントラネットのアクセスルールにアクセスします。イントラネットを認証するときは注意が必要です。

セキュリティ上の理由から、CIDR ネットワークセグメントに基づく承認を有効にすることはお勧めできません。

エラスティックコンピューティングの場合、イントラネットの IP は頻繁に変化します。また、この IP のネットワークセグメントは不規則であるため、クラシックネットワークのイントラネットに対しては、イントラネットへのアクセスを許可することをお勧めします。セキュリティグループを通じて。

たとえば、セキュリティグループ sg-redis に Redis クラスターを構築した場合、特定のマシン (sg-web など) のみがこの Redis サーバーグループにアクセスできるようにするには、設定する必要はありません。任意の CIDR エントリルールを追加する必要があります。関連するセキュリティグループ ID を指定するだけです。

ネットワークカードタイプ (NicType): イントラネット。

認可ポリシー (ポリシー): 許可 (受け入れ)。

ルールの方向 (NicType): ネットワークへ。

プロトコルタイプ (IpProtocol): TCP (tcp)。

ポート範囲 (PortRange): 6379/6379。

認可オブジェクト (SourceGroupId): sg-web.

優先度: 1.

VPC タイプのインスタンスの場合、複数の VSwitch を通じて独自の IP 範囲を計画している場合は、セキュリティグループエントリルールとして CIDR 設定を使用できます。ただし、VPC ネットワークセグメントが十分に明確でない場合は、次のようにすることをお勧めします。セキュリティグループをエントリルールとして使用することを優先します。

相互に通信する必要がある ECS インスタンスを同じセキュリティグループに追加します

ECS インスタンスは最大 5 つのセキュリティグループに参加できます、グループ内の同じセキュリティグループ ECS インスタンスがネットワーク経由で相互接続されます。計画中にすでに複数のセキュリティグループがあり、複数のセキュリティルールを直接設定することが複雑すぎる場合は、新しいセキュリティグループを作成し、イントラネット通信を必要とする ECS インスタンスをこの新しいセキュリティグループに追加できます。

セキュリティグループはネットワークタイプを区別します。クラシックネットワークタイプの ECS インスタンスはクラシックネットワークのセキュリティグループにのみ参加でき、VPC タイプの ECS インスタンスはこの VPC のセキュリティグループにのみ参加できます。

すべての ECS インスタンスをセキュリティグループに追加することはお勧めできません。セキュリティグループのルール設定が悪夢のようなものになってしまいます。中規模から大規模のアプリケーションの場合、各サーバーグループには異なる役割があり、各サーバーの受信リクエストと送信リクエストを合理的に計画することが非常に必要です。

ドキュメント「セキュリティグループへの参加」の説明に従って、コンソールでセキュリティグループにインスタンスを追加できます。

Alibaba Cloud の OpenAPI に精通している場合は、「OpenAPI を使用して ECS インスタンスを柔軟に管理し、OpenAPI を通じてバッチ操作を実行する」を参照してください。対応する Python スニペットは次のとおりです。

def join_sg(sg_id, instance_id):
    request = JoinSecurityGroupRequest()
    request.set_InstanceId(instance_id)
    request.set_SecurityGroupId(sg_id)
    response = _send_request(request)
    return response
# send open api request
def _send_request(request):
    request.set_accept_format(&#39;json&#39;)
    try:
        response_str = clt.do_action(request)
        logging.info(response_str)
        response_detail = json.loads(response_str)
        return response_detail
    except Exception as e:
        logging.error(e)

ログイン後にコピー

セキュリティグループから ECS インスタンスを削除します

ECS インスタンスが不適切なセキュリティグループに追加されると、サービスが公開されます。またはブロックされている場合は、このセキュリティグループから ECS インスタンスを削除することを選択できます。ただし、セキュリティグループを削除する前に、ECS インスタンスが他のセキュリティグループに参加していることを確認する必要があります。

注: ECS インスタンスをセキュリティグループから移動すると、ECS インスタンスが現在のセキュリティグループのネットワークから切断されます。移動する前に十分なテストを実施することをお勧めします。

対応する Python スニペットは次のとおりです。

def leave_sg(sg_id, instance_id):
    request = LeaveSecurityGroupRequest()
    request.set_InstanceId(instance_id)
    request.set_SecurityGroupId(sg_id)
    response = _send_request(request)
    return response
# send open api request
def _send_request(request):
    request.set_accept_format(&#39;json&#39;)
    try:
        response_str = clt.do_action(request)
        logging.info(response_str)
        response_detail = json.loads(response_str)
        return response_detail
    except Exception as e:
        logging.error(e)

ログイン後にコピー

合理的なセキュリティグループ名とラベルを定義する

合理的なセキュリティグループ名と説明は、現在の複雑なルールの組み合わせを迅速に識別するのに役立ちます。名前と説明を変更すると、セキュリティグループを簡単に識別できます。

セキュリティグループにラベルグループを設定することで、独自のセキュリティグループを管理することもできます。ラベルはコンソールで直接設定することも、API を通じて設定することもできます。

不要なセキュリティグループの削除

セキュリティグループのセキュリティルールは、ホワイトリストとブラックリストに似ています。したがって、誤って ECS インスタンスに参加することによる無用なトラブルを避けるために、不要なセキュリティグループは保持しないでください。

以上がセキュリティグループルールを承認および取り消し、セキュリティグループに参加および脱退する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。