Erstellen, Konfigurieren und Löschen von Sicherheitsgruppen für Amazon EC2

Sie können eine Sicherheitsgruppe, die im Wesentlichen als Firewall fungiert, für Ihre Amazon Elastic Compute Cloud (Amazon EC2) -Instances mit Regeln erstellen, die den ein- und ausgehenden Netzwerkverkehr bestimmen.

Sie können Sicherheitsgruppen für die Verwendung in einer Virtual Private Cloud (VPC) oder einem geteilten, flachen EC2-Classic-Netzwerk erstellen. Weitere Informationen zu den Unterschieden zwischen EC2-Classic und EC2-VPC finden Sie unterUnterstützte PlattformenimAmazon EC2-Benutzerhandbuch für Linux-Instances.

Mit der AWS Command Line Interface (AWS CLI) erstellen Sie eine neue Sicherheitsgruppe, fügen Regeln zu vorhandenen Sicherheitsgruppen hinzu und löschen Sicherheitsgruppen.

Prerequisites

So führen Sie das aus:ec2-Befehle verwenden, müssen Sie:

• Installieren und Konfigurieren der AWS CLI. Weitere Informationen finden Sie unter Installation, Aktualisierung und Deinstallation vonAWS CLI und Konfigurationsgrundlagen.

• Legen Sie Ihre IAM-Berechtigungen fest, um Amazon EC2 Zugriff zu ermöglichen. Weitere Informationen zu IAM-Berechtigungen für Amazon EC2 finden Sie unterIAM-Richtlinien für Amazon EC2imAmazon EC2-Benutzerhandbuch für Linux-Instances.

Erstellen einer Sicherheitsgruppe

Sie können Sicherheitsgruppen für EC2-Classic erstellen oder Sicherheitsgruppen, die mit VPCs verknüpft sind.

EC2-VPC

Im folgenden Beispiel wird gezeigt, wie Sie eine Sicherheitsgruppe für eine bestimmte VPC erstellen.

$ aws ec2 create-security-group --group-name my-sg --description "My security group" --vpc-id vpc-1a2b3c4d
{
    "GroupId": "sg-903004f8"
}

Zum Anzeigen der Anfangsinformationen für eine Sicherheitsgruppe führen Sie den Befehl describe-security-groups aus. Sie können auf eine EC2-VPC-Sicherheitsgruppe nur mit der vpc-id und nicht mit ihrem Namen verweisen.

$ aws ec2 describe-security-groups --group-ids sg-903004f8
{
    "SecurityGroups": [
        {
            "IpPermissionsEgress": [
                {
                    "IpProtocol": "-1",
                    "IpRanges": [
                        {
                            "CidrIp": "0.0.0.0/0"
                        }
                    ],
                    "UserIdGroupPairs": []
                }
            ],
            "Description": "My security group"
            "IpPermissions": [],
            "GroupName": "my-sg",
            "VpcId": "vpc-1a2b3c4d",
            "OwnerId": "123456789012",
            "GroupId": "sg-903004f8"
        }
    ]
}

EC2-Classic

Im folgenden Beispiel wird gezeigt, wie Sie eine Sicherheitsgruppe für EC2-Classic erstellen.

$ aws ec2 create-security-group --group-name my-sg --description "My security group"
{
    "GroupId": "sg-903004f8"
}

Zum Anzeigen der Anfangsinformationen für my-sg führen Sie den Befehl describe-security-groups aus. Auf eine EC2-Classic-Sicherheitsgruppe können Sie mit deren Namen verweisen.

$ aws ec2 describe-security-groups --group-names my-sg
{
    "SecurityGroups": [
        {
            "IpPermissionsEgress": [],
            "Description": "My security group"
            "IpPermissions": [],
            "GroupName": "my-sg",
            "OwnerId": "123456789012",
            "GroupId": "sg-903004f8"
        }
    ]
}

Hinzufügen von Regeln zu Ihrer Sicherheitsgruppe

Wenn Sie eine Amazon EC2 Instance ausführen, müssen Sie Regeln in der Sicherheitsgruppe aktivieren, um eingehenden Netzwerkverkehr für Ihre Art der Verbindung zum Abbild zu aktivieren.

Wenn Sie beispielsweise eine Windows-Instance starten, fügen Sie im Allgemeinen eine Regel hinzu, um eingehenden Datenverkehr über TCP-Port 3389 zu erlauben, um das Remote Desktop Protocol (RDP) zu unterstützen. Beim Starten einer Linux-Instance fügen Sie im Allgemeinen eine Regel hinzu, um eingehenden Datenverkehr über TCP-Port 22 zu erlauben, um SSH-Verbindungen zu unterstützen.

Fügen Sie mit dem Befehl authorize-security-group-ingress eine Regel zu Ihrer Sicherheitsgruppe hinzu. Ein erforderlicher Parameter dieses Befehls ist die öffentliche IP-Adresse Ihres Computers oder das Netzwerk (in Form eines Adressbereichs), das mit Ihrem Computer verbunden ist. Dabei wird die CIDR-Notation verwendet.

Anmerkung

Wir bieten den folgenden Service,https://checkip.amazonaws.com/So können Sie Ihre öffentliche IP-Adresse bestimmen. Zum Finden weiterer Services zur Identifizierung Ihrer IP-Adresse geben Sie in Ihren Browser "wie lautet meine IP-Adresse" ein. Wenn Sie eine Verbindung über einen ISP oder von hinter einer Firewall mit einer dynamischen IP-Adresse herstellen (über ein NAT-Gateway von einem privaten Netzwerk), können Sie diese regelmäßig ändern. In diesem Fall müssen Sie den IP-Adressbereich herausfinden, der von Client-Computern verwendet wird.

EC2-VPC

Im folgenden Beispiel wird gezeigt, wie Sie einer EC2-VPC-Sicherheitsgruppe eine Regel für RDP (TCP-Port 3389) mit der IDsg-903004f8Verwenden Sie Ihre IP-Adresse

Um zu starten, suchen Sie Ihre IP-Adresse.

$ curl https://checkip.amazonaws.com
x.x.x.x

Sie können die IP-Adresse zur Sicherheitsgruppe hinzufügen, indem Sie denauthorize-security-group-ingress-Befehl.

$ aws ec2 authorize-security-group-ingress --group-id sg-903004f8 --protocol tcp --port 3389 --cidr x.x.x.x

Der folgende Befehl fügt eine weitere Regel hinzu, um SSH-Instances in derselben Sicherheitsgruppe zu aktivieren.

$ aws ec2 authorize-security-group-ingress --group-id sg-903004f8 --protocol tcp --port 22 --cidr x.x.x.x

Zum Anzeigen der Änderungen der Sicherheitsgruppe führen Sie den Befehl describe-security-groups aus.

$ aws ec2 describe-security-groups --group-ids sg-903004f8
{
    "SecurityGroups": [
        {
            "IpPermissionsEgress": [
                {
                    "IpProtocol": "-1",
                    "IpRanges": [
                        {
                            "CidrIp": "0.0.0.0/0"
                        }
                    ],
                    "UserIdGroupPairs": []
                }
            ],
            "Description": "My security group"
            "IpPermissions": [
                {
                    "ToPort": 22,
                    "IpProtocol": "tcp",
                    "IpRanges": [
                        {
                            "CidrIp": "x.x.x.x"
                        }
                    ]
                    "UserIdGroupPairs": [],
                    "FromPort": 22
                }
            ],
            "GroupName": "my-sg",
            "OwnerId": "123456789012",
            "GroupId": "sg-903004f8"
        }
    ]
}

EC2-Classic

Der folgende Befehl fügt eine Regel für das RDP zur EC2-Classic-Sicherheitsgruppe namens my-sg hinzu.

$ aws ec2 authorize-security-group-ingress --group-name my-sg --protocol tcp --port 3389 --cidr x.x.x.x

Mit diesem Befehl fügen Sie eine weitere Regel für SSH zur selben Sicherheitsgruppe hinzu.

$ aws ec2 authorize-security-group-ingress --group-name my-sg --protocol tcp --port 22 --cidr x.x.x.x

Zum Anzeigen der Änderungen der Sicherheitsgruppe führen Sie den Befehl describe-security-groups aus.

$ aws ec2 describe-security-groups --group-names my-sg
{
    "SecurityGroups": [
        {
            "IpPermissionsEgress": [],
            "Description": "My security group"
            "IpPermissions": [
                {
                    "ToPort": 22,
                    "IpProtocol": "tcp",
                    "IpRanges": [
                        {
                            "CidrIp": "x.x.x.x"
                        }
                    ]
                    "UserIdGroupPairs": [],
                    "FromPort": 22
                }
            ],
            "GroupName": "my-sg",
            "OwnerId": "123456789012",
            "GroupId": "sg-903004f8"
        }
    ]
}

Löschen Ihrer Sicherheitsgruppe

Zum Löschen einer Sicherheitsgruppe führen Sie den Befehl delete-security-group aus.

Anmerkung

Sie können eine Sicherheitsgruppe nicht löschen, wenn sie aktuell an eine Umgebung angefügt ist.

EC2-VPC

Der folgende Befehl löscht die EC2-VPC-Sicherheitsgruppe.

$ aws ec2 delete-security-group --group-id sg-903004f8

EC2-Classic

Der folgende Befehl löscht die EC2-Classic-Sicherheitsgruppe mit Namen my-sg:

$ aws ec2 delete-security-group --group-name my-sg