セキュリティ
Amazon Virtual Private Cloud では、次の 3 つの機能を使用して、仮想プライベートクラウド (VPC) のセキュリティを強化し、モニタリングできます。
-
セキュリティグループ: セキュリティグループは、関連付けられた Amazon EC2 インスタンスのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をインスタンスレベルでコントロールします。インスタンスを起動する際、作成した 1 つ以上のセキュリティグループに関連付けることができます。VPC 内のインスタンスごとに異なるセキュリティグループのセットに割り当てることができます。インスタンスを起動するときにセキュリティグループを指定しない場合、そのインスタンスは VPC のデフォルトのセキュリティグループに自動的に関連付けられます。詳細については、「VPC のセキュリティグループ」を参照してください。
-
ネットワークアクセスコントロールリスト (ACL): ネットワーク ACL は、関連付けられたサブネットのファイアウォールとして動作し、インバウンドトラフィックとアウトバウンドトラフィックの両方をサブネットレベルでコントロールします。詳細については、「ネットワーク ACL」を参照してください。
-
フローログ: フローログは、 のネットワークインターフェイスとの間で行き来する IP トラフィックに関する情報をキャプチャします。VPC、サブネット、または個々のネットワークインターフェイスのフローログを作成できます。フローログデータは、CloudWatch Logs または Amazon S3 に発行され、過度に制限されているか制限のないセキュリティグループとネットワーク ACL ルールを診断するうえで役立ちます。詳細については、「VPC フローログ」を参照してください。
AWS Identity and Access Management を使用すると、組織内の誰がセキュリティグループ、ネットワーク ACL、およびフローログを作成/管理できるようにするかをコントロールできます。例えば、ネットワーク管理者にだけその許可を付与し、インスタンスの起動のみが必要な作業員には付与しないようにできます。詳細については、「Amazon VPC のリソースに対するアクセスの制御」を参照してください。
Amazon セキュリティグループとネットワーク ACL は、リンクローカルアドレス (169.254.0.0/16) または AWS 予約済み IPv4 アドレスとやり取りされるトラフィックをフィルタリングしません。予約済みアドレスは、サブネットの最初の 4 個の IPv4 アドレス
(VPC の Amazon DNS サーバーアドレスを含む) です。同様に、フローログは、これらのアドレスを出入りする IP トラフィックをキャプチャしません。これらのアドレスでは、ドメインネームサービス
(DNS)、動的ホスト構成プロトコル (DHCP)、Amazon EC2 インスタンスメタデータ、Key Management Server (KMS - Windows
インスタンスのライセンス管理)、およびサブネットでのルーティングといったサービスをサポートしています。追加のファイアウォールソリューションをインスタンスで実装すれば、リンクローカルアドレスとのネットワーク通信をブロックできます。
セキュリティグループとネットワーク ACL の比較
次の表は、セキュリティグループとネットワーク ACL の基本的な違いをまとめたものです。
| セキュリティグループ | ネットワーク ACL |
|---|---|
|
インスタンスレベルで動作します。 |
サブネットレベルで動作します。 |
|
ルールの許可のみがサポートされます |
ルールの許可と拒否がサポートされます |
|
ステートフル: ルールに関係なく、返されたトラフィックが自動的に許可されます |
ステートレス: 返されたトラフィックがルールによって明示的に許可されます |
|
トラフィックを許可するかどうかを決める前に、すべてのルールを評価します |
トラフィックを許可するかどうかを決めるときに、順番にルールを処理します |
|
インスタンスの起動時に誰かがセキュリティグループを指定した場合、または後でセキュリティグループをインスタンスに関連付けた場合にのみ、インスタンスに適用されます。 |
関連付けられているサブネット内のすべてのインスタンスに自動的に適用されます (そのため、セキュリティグループのルールの許容範囲が広すぎる場合は、保護レイヤーを追加する必要があります)。 |
次の図は、セキュリティグループおよびネットワーク ACL が提供するセキュリティレイヤーを示しています。例えば、インターネットゲートウェイからのトラフィックは、ルーティングテーブルのルートを使用して適切なサブネットにルーティングされます。サブネットに対してどのトラフィックが許可されるかは、そのサブネットに関連付けられているネットワーク ACL のルールによってコントロールされます。インスタンスに対してどのトラフィックが許可されるかは、そのインスタンスに関連付けられているセキュリティグループのルールによってコントロールされます。
インスタンスはセキュリティグループでのみ保護できます。ただし、追加の保護レイヤーとしてネットワーク ACL を追加することができます。例については、「例: サブネットのインスタンスへのアクセスの制御」を参照してください。
