Amazon VPC のネットワーク間トラフィックプライバシー - Amazon Virtual Private Cloud
セキュリティグループとネットワーク ACL の比較

Amazon VPC のネットワーク間トラフィックプライバシー

Amazon Virtual Private Cloud では、次の 3 つの機能を使用して、仮想プライベートクラウド (VPC) のセキュリティを強化し、モニタリングできます。

  • セキュリティグループ: セキュリティグループは、関連付けられた Amazon EC2 インスタンスのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をインスタンスレベルでコントロールします。インスタンスを起動する際、作成した 1 つ以上のセキュリティグループに関連付けることができます。VPC 内のインスタンスごとに異なるセキュリティグループのセットに割り当てることができます。インスタンスを起動するときにセキュリティグループを指定しないと、そのインスタンスは VPC のデフォルトのセキュリティグループに自動的に関連付けられます。詳細については、「VPC のセキュリティグループ」を参照してください。

  • ネットワークアクセスコントロールリスト (ACL): ネットワーク ACL は、関連付けられたサブネットのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をサブネットレベルでコントロールします。詳細については、「ネットワーク ACL」を参照してください。

  • フローログ: フローログは、 のネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャします。VPC、サブネット、または個々のネットワークインターフェイスのフローログを作成できます。フローログデータは、CloudWatch Logs または Amazon S3 に発行され、過度に制限されているか制限のないセキュリティグループとネットワーク ACL ルールを診断するうえで役立ちます。詳細については、「VPC フローログ」を参照してください。

  • トラフィックのミラーリング: Amazon EC2 インスタンスの Elastic Network Interface からネットワークトラフィックをコピーできます。その後、トラフィックを帯域外セキュリティアプライアンスおよびモニタリングアプライアンスに送信できます。詳細については、トラフィックミラーリングガイドを参照してください。

AWS Identity and Access Management (IAM) を使用すると、組織内の誰がセキュリティグループ、ネットワーク ACL、およびフローログを作成/管理できるようにするかをコントロールできます。たとえば、ネットワーク管理者にそのアクセス許可を付与し、インスタンスの起動のみが必要な作業員には付与しないようにできます。詳細については、「Amazon VPC の Identity and Access Management」を参照してください。

Amazon セキュリティグループとネットワーク ACL は、リンクローカルアドレス (169.254.0.0/16) または AWS 予約済み IPv4 アドレスとやり取りされるトラフィックをフィルタリングしません。予約済みアドレスは、サブネットの最初の 4 個の IPv4 アドレス (VPC の Amazon DNS サーバーアドレスを含む) です。同様に、フローログは、これらのアドレスを出入りする IP トラフィックをキャプチャしません。これらのアドレスは、次のものをサポートします。

  • ドメインネームサービス (DNS)

  • Dynamic Host Configuration Protocol (DHCP)

  • Amazon EC2 インスタンスメタデータ。

  • Key Management Server (KMS) — Windows インスタンスのライセンス管理

  • サブネット内のルーティング

追加のファイアウォールソリューションをインスタンスで実装すれば、リンクローカルアドレスとのネットワーク通信をブロックできます。

セキュリティグループとネットワーク ACL の比較

次の表は、セキュリティグループとネットワーク ACL の基本的な違いをまとめたものです。

セキュリティグループ ネットワーク ACL

インスタンスレベルで動作します。

サブネットレベルで動作します。

ルールの許可のみがサポートされます

ルールの許可と拒否がサポートされます

ステートフル: ルールに関係なく、返されたトラフィックが自動的に許可されます

ステートレス: 返されたトラフィックがルールによって明示的に許可されます

トラフィックを許可するかどうかを決める前に、すべてのルールを評価します

トラフィックを許可するかどうかを決定する際に、最も低い番号のルールから順にルールを処理します。

インスタンスの起動時に誰かがセキュリティグループを指定した場合、または後でセキュリティグループをインスタンスに関連付けた場合にのみ、インスタンスに適用されます。

関連付けられているサブネット内のすべてのインスタンスに自動的に適用されます（そのため、セキュリティグループのルールの許容範囲が広すぎる場合は、保護レイヤーを追加する必要があります）。

次の図は、セキュリティグループおよびネットワーク ACL が提供するセキュリティレイヤーを示しています。たとえば、インターネットゲートウェイからのトラフィックは、ルーティングテーブルのルートを使用して適切なサブネットにルーティングされます。サブネットに対してどのトラフィックが許可されるかは、そのサブネットに関連付けられているネットワーク ACL のルールによってコントロールされます。インスタンスに対してどのトラフィックが許可されるかは、そのインスタンスに関連付けられているセキュリティグループのルールによってコントロールされます。

セキュリティグループおよびネットワーク ACL を使用してトラフィックをコントロール

セキュリティグループのみを使用してインスタンスを保護できます。ただし、ネットワーク ACL は追加の防御レイヤーとして追加できます。例については、「例: サブネットのインスタンスへのアクセスの制御」を参照してください。