Utilisation de groupes de sécurité VPC pour les instances Amazon EC2 et les cibles de montage

Lorsque vous utilisez Amazon EFS, vous spécifiez des groupes de sécurité Amazon EC2 pour vos instances EC2 et des groupes de sécurité pour les cibles de montage EFS associées au système de fichiers. Les groupes de sécurité font office de pare-feu, et les règles que vous ajoutez définissent le flux de trafic. Dans l'exercice de mise en route, vous avez créé un groupe de sécurité lors du lancement de l'instance EC2. Vous en avez ensuite associé un autre avec la cible de montage EFS (c'est-à-dire, le groupe de sécurité par défaut pour votre VPC par défaut). Cette approche fonctionne pour l'exercice de mise en route. Toutefois, pour un système de production, vous devez configurer des groupes de sécurité avec des autorisations minimales pour une utilisation avec EFS.

Vous pouvez autoriser l'accès entrant et sortant à votre système de fichiers EFS. Pour ce faire, vous devez ajouter des règles qui autorisent votre instance EC2 à se connecter à votre système de fichiers Amazon EFS via la cible de montage en utilisant le port Network File System (NFS). Pour créer et mettre à jour vos groupes de sécurité, procédez comme indiqué ci-après.

Pour créer des groupes de sécurité pour les instances EC2 et les cibles de montage

1. Créez deux groupes de sécurité dans votre VPC.

   Pour plus d'informations, consultez la procédure Pour créer un groupe de sécurité dans un Guide de l'utilisateur Amazon VPC.

2. Ouvrez la console de gestion Amazon VPC à l'adresse https://console.aws.amazon.com/vpc/ et vérifiez les règles par défaut pour ces groupes de sécurité. Les deux groupes de sécurité doivent avoir uniquement une règle sortante qui autorise le trafic en sortie.

Pour mettre à jour l'accès nécessaire pour vos groupes de sécurité

1. Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/.

2. Ajoutez une règle pour votre groupe de sécurité EC2 afin d'autoriser l'accès entrant avec SSH (Secure Shell) depuis n'importe quel hôte. Vous pouvez éventuellement limiter l'adresse Source.

   Vous n'avez pas besoin d'ajouter une règle sortante, car la règle sortante par défaut autorise tout le trafic en sortie. Si ce n'est pas le cas, vous devez ajouter une règle sortante pour ouvrir la connexion TCP sur le port NFS, en identifiant le groupe de sécurité de la cible de montage en tant que destination.

   Pour plus d'informations, consultez Ajout et suppression de règles dans le Guide de l'utilisateur Amazon VPC.

3. Création de règles entrantes et sortantes pour la cible de montage.

   • Ajoutez une règle de réception pour le groupe de sécurité cible de montage afin d'autoriser l'accès entrant à partir du groupe de sécurité EC2. Identifier le groupe de sécurité EC2 comme source.

   • Ajoutez une règle de sortie pour ouvrir la connexion TCP sur tous les ports NFS. Identifie le groupe de sécurité EC2 comme destination.

   Pour plus d'informations, consultez Ajout et suppression de règles dans le Guide de l'utilisateur Amazon VPC.

4. Vérifiez que les deux groupes de sécurité autorisent maintenant l'accès entrant et sortant.

Pour plus d'informations sur les groupes de sécurité, consultez Groupe de sécurité for EC2-VPC dans le Guide de l'utilisateur Amazon EC2 pour les instances Linux.