製品情報
パブリックイメージの更新情報
OSの公式サポート終了計画
製品に関するお知らせ
セキュリティグループの概要
セキュリティグループは、ステートフルパケットをフィルタリングする機能を備えた仮想ファイアウォールです。CVM、Cloud Load Balancer(CLB)、クラウドデータベースなどのインスタンスを設定するネットアクセス制御、インスタンスレベルのインバウンド・アウトバウンドトラフィックの制御のために使用されます。ネットワークセキュリティに対する重要な隔離手段です。
セキュリティグループルールを設定することにより、セキュリティグループ内のインスタンスのインバウンドおよびアウトバウンドトラフィックを許可または拒否できます。
セキュリティグループの特徴
セキュリティグループは、論理グループであり、同一リージョン内にある同じネットワークセキュリティ分離要件を持つCVM、ENI、TencentDBなどのインスタンスを同じセキュリティグループ内に追加することができます。
セキュリティグループにルールが追加されていない場合、デフォルトではすべてのトラフィックが拒否されます。お客様が適切な許可ルールを追加してください。
セキュリティグループはステートフルであり、許可されたインバウンドトラフィックに対して、自動的にアウトバウンドも許可され、逆の場合も同じです。
いつでもセキュリティグループルールを変更できます。新しいルールはすぐに有効になります。
使用制限
セキュリティグループルール
構成要素
セキュリティグループルールの構成要素は、以下のことを含みます：
ソース：ソースデータ（インバウンド）またはターゲットデータ（アウトバウンド）のIPアドレス。
プロトコルタイプとプロトコルポート：プロトコルタイプは、 TCP、UDPなどです。
ポリシー：許可または拒否。
ルールの優先順位
セキュリティグループ内のルールは、優先順位があります。リストの一番上が、最も優先順位が高くなります。下になるほど優先順位は低くなります。
ルールに競合がある場合、優先順位の高いルールがデフォルトで優先されます。
特定のセキュリティグループにバインドされたインスタンスに入る/出るトラフィックがある場合、セキュリティグループルールリストの一番上にあるルールから順に最後までマッチングを実行します。特定のルールのマッチングに成功した（通過許可/通過拒否）場合は、このルール以降のルールのマッチングを停止します。
複数のセキュリティグループ
1つのインスタンスを1つまたは複数のセキュリティグループにバインドすることができます。インスタンスを複数のセキュリティグループにバインドする場合は、複数のセキュリティグループが一番上から一番下まで順にマッチングを実行します。いつでもセキュリティグループの優先順位を調整することができます。
セキュリティグループテンプレート
セキュリティグループを新規作成する際に、Tencent Cloudが提供する2つのセキュリティグループテンプレートのいずれかを選択できます。
すべてのポートを開放：すべてのインバウンドおよびアウトバウンドトラフィックの通過が許可されます。
主要なポートを開放：ポートTCP 22（Linux SSHログインの場合）、ポート80および443（Webサービスの場合）、ポート3389（Windowsリモートログインの場合）、ICMPプロトコル（Pingコマンドの場合）、およびプライベートネットワークをインターネットにオープンします。
説明：
提供されたセキュリティグループテンプレートがお客様の要求を満たさない場合は、カスタムセキュリティグループを新規作成することができます。詳細については、セキュリティグループの作成、セキュリティグループの適用例 をご参照ください。
アプリケーション層(HTTP/HTTPS)に対するセキュリティ保護要件がある場合は、別途、Tencent Cloud Web Application Firewall (WAF) を購入することができます。WAFはアプリケーション層のWebセキュリティ保護を提供し、Web脆弱性攻撃、悪意あるクローラやCC攻撃などの行為を食い止め、サイトやWebアプリケーションのセキュリティを保護します。
使用手順
セキュリティグループの使用手順は下図のとおりです：
セキュリティグループのベストプラクティス
セキュリティグループの作成
APIを介してCVMを購入する場合、セキュリティグループを指定することをお勧めします。セキュリティグループが指定されていない場合、システムによって自動的に生成されたデフォルトのセキュリティグループが使用されます。またデフォルトのセキュリティグループは削除できません。デフォルトのルールはすべてのIPv4をオープンすることであり、作成された後に状況に応じて変更することができます。
インスタンス保護ポリシーを変更する必要がある場合は、新しいセキュリティグループを作成するのではなく、既存のルールを変更することをお勧めします。
ルールの管理
ルールを変更したい場合は、まず現在のセキュリティグループをエクスポートしてバックアップすることができます。新たなルールに悪影響がある場合は、以前のセキュリティグループルールをインポートして復元することができます。
複数のセキュリティグループルールが必要となる場合には、パラメータテンプレートを使用してください。
セキュリティグループと関連付ける
インスタンスごとに個別のセキュリティグループを設定する必要がなく、同じ保護要件を持つインスタンスを同じセキュリティグループに追加することができます。
過剰な数のセキュリティグループを1つのインスタンスにバインドすることを回避してください。セキュリティグループルール同士の競合により、ネットワークに接続できなくなる場合があります。
フィードバック