セキュリティ
Amazon Virtual Private Cloud では、次の 3 つの機能を使用して、仮想プライベートクラウド (VPC) のセキュリティを強化し、モニタリングできます。
-
セキュリティグループ — 関連付けられた Amazon EC2 インスタンスのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をインスタンスレベルでコントロールします
-
ネットワークアクセスコントロールリスト (ACL) — 関連付けられたサブネットのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をサブネットレベルでコントロールします
-
フローフラグ — VPC のネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャします
VPC 内にインスタンスを起動するときに、作成した 1 つ以上のセキュリティグループを関連付けることができます。VPC 内のインスタンスごとに異なるセキュリティグループのセットに割り当てることができます。インスタンスを起動するときにセキュリティグループを指定しないと、そのインスタンスは VPC のデフォルトのセキュリティグループに自動的に割り当てられます。セキュリティグループの詳細については、「VPC のセキュリティグループ」を参照してください。
VPC インスタンスはセキュリティグループでのみ保護できます。ただし、追加の保護レイヤーとしてネットワーク ACL を追加することができます。詳細については、「ネットワーク ACL」を参照してください。
VPC、サブネット、または個別のネットワークインターフェイスのフローログを作成して、インスタンスを出入りする、許可または拒否された IP トラフィックをモニタリングできます。フローログデータは CloudWatch Logs に発行され、過度に制限されているか制限のないセキュリティグループとネットワーク ACL ルールを診断するうえで役立ちます。詳細については、「VPC フローログ」を参照してください。
AWS Identity and Access Management を使用すると、組織内の誰がセキュリティグループ、ネットワーク ACL、およびフローログを作成/管理できるようにするかをコントロールできます。例えば、ネットワーク管理者にだけその許可を付与し、インスタンスの起動のみが必要な作業員には付与しないようにできます。詳細については、「Amazon VPC のリソースに対するアクセスの制御」を参照してください。
Amazon セキュリティグループとネットワーク ACL は、リンクローカルアドレス (169.254.0.0/16) または AWS 予約済み IPv4 アドレスとやり取りされるトラフィックをフィルタリングしません。予約済みアドレスは、サブネットの最初の 4 個の IPv4 アドレス
(VPC の Amazon DNS サーバーアドレスを含む) です。同様に、フローログは、これらのアドレスを出入りする IP トラフィックをキャプチャしません。これらのアドレスでは、ドメインネームサービス
(DNS)、動的ホスト構成プロトコル (DHCP)、Amazon EC2 インスタンスメタデータ、Key Management Server (KMS - Windows
インスタンスのライセンス管理)、およびサブネットでのルーティングといったサービスをサポートしています。追加のファイアウォールソリューションをインスタンスで実装すれば、リンクローカルアドレスとのネットワーク通信をブロックできます。
セキュリティグループとネットワーク ACL の比較
次の表は、セキュリティグループとネットワーク ACL の基本的な違いをまとめたものです。
| セキュリティグループ | ネットワーク ACL |
|---|---|
|
インスタンスレベルで動作します。 |
サブネットレベルで動作します。 |
|
ルールの許可のみがサポートされます |
ルールの許可と拒否がサポートされます |
|
ステートフル: ルールに関係なく、返されたトラフィックが自動的に許可されます |
ステートレス: 返されたトラフィックがルールによって明示的に許可されます |
|
トラフィックを許可するかどうかを決める前に、すべてのルールを評価します |
トラフィックを許可するかどうかを決めるときに、順番にルールを処理します |
|
インスタンスの起動時に誰かがセキュリティグループを指定した場合、または後でセキュリティグループをインスタンスに関連付けた場合にのみ、インスタンスに適用されます。 |
関連付けられたサブネット内のすべてのインスタンスに自動的に適用されます (したがって、セキュリティグループを指定するユーザーに依存する必要はありません)。 |
次の図は、セキュリティグループおよびネットワーク ACL が提供するセキュリティレイヤーを示しています。例えば、インターネットゲートウェイからのトラフィックは、ルーティングテーブルのルートを使用して適切なサブネットにルーティングされます。サブネットに対してどのトラフィックが許可されるかは、そのサブネットに関連付けられているネットワーク ACL のルールによってコントロールされます。インスタンスに対してどのトラフィックが許可されるかは、そのインスタンスに関連付けられているセキュリティグループのルールによってコントロールされます。
