CLF / ドメイン3 クラウドテクノロジーとサービス
重要な内容
セキュリティグループとネットワークACL
とは、内のネットワーク通信を制御する仕組みです。 どちらも仮想ファイアウォールとして働きますが、適用する場所、ルール、戻り通信の扱いが異なります。
CLFでは、「リソース単位か単位か」「かか」「拒否ルールを設定できるか」を区別します。
概要
インターネットなどから内のリソースへ通信するときは、境界のと、リソースに関連付けたの両方が関係します。
通常はセキュリティグループを主要な通信制御として使い、ネットワークACLはサブネット全体の追加防御や特定通信の拒否に使います。
主要技術
①基本比較 ⚠️ 頻出
| 比較項目 | ||
|---|---|---|
| 適用単位 | などのリソース単位 | 単位 |
| 状態 | ||
| ルール | 許可のみ | 許可と拒否 |
| 評価方法 | すべてのルールをまとめて評価 | ルール番号の小さい順に評価し、最初の一致を適用 |
| 戻り通信 | 自動的に許可 | 明示的な許可が必要 |
| 主な用途 | 個々のリソースへの細かなアクセス制御 | サブネット全体の粗い制御、追加防御 |
Point
- ACL = Access Control List（アクセス制御リスト） の略です。
- Stateful は通信状態を記憶し、許可した通信の戻りを自動で通します。
- Stateless は通信状態を記憶しないため、往路と復路を別々に許可します。
②セキュリティグループ
は、インスタンスなどのネットワークインターフェイスに関連付けて使います。インバウンドとアウトバウンドに許可ルールを設定します。
なので、許可されたインバウンド通信への応答は、アウトバウンドルールにかかわらず戻せます。拒否ルールは設定できないため、必要な通信だけを許可する設計にします。
新しく作成したセキュリティグループは、インバウンドルールが空（すべての受信を拒否）で、すべての送信を許可するアウトバウンドルールが入った状態から始まります。
別のセキュリティグループを通信元として指定できることも特徴です。たとえば、アプリケーションサーバーにはのセキュリティグループからの通信だけを許可できます。
③ネットワークACL
は、関連付けたへ出入りする通信を制御します。サブネット内の対象リソースへ一括して適用されます。
なので、要求と応答の両方向に必要なルールを設定します。許可と拒否の両方を設定でき、ルール番号の小さいものから評価して最初に一致したルールを適用します。
特定の範囲をサブネット境界で拒否したい場合や、に加えて多層防御を行う場合に使います。
④ルートテーブルとの違い
は通信の送信先を決め、とは通信を許可するか制御します。
| 機能 | 主な役割 |
|---|---|
| ルートテーブル | 宛先に応じて、通信をどこへ送るか決めます。 |
| ネットワークACL | 境界で通信を許可または拒否します。 |
| セキュリティグループ | リソース単位で通信を許可します。 |
通信経路がなくても接続できず、経路があってもセキュリティルールで許可されていなければ接続できません。
試験対策
| 問題文のキーワード | 選ぶ機能 | 理由 |
|---|---|---|
| など個々のリソースへの通信を許可 | リソース単位で適用します。 | |
| 全体をまとめて制御 | サブネット境界で適用します。 | |
| 戻り通信を自動的に許可 | セキュリティグループ | です。 |
| 往路と復路を別々に許可 | ネットワークACL | です。 |
| 特定の範囲を明示的に拒否 | ネットワークACL | 拒否ルールを設定できます。 |
| 通信を送るゲートウェイや接続先を決定 | 経路選択の機能です。 |
「ステートフルだからインバウンドだけ設定すれば常に十分」という意味ではありません。新しく開始するアウトバウンド通信はアウトバウンドルールで判断されます。一方、ネットワークACLでは戻り通信に使うポートも含め、双方向のルールを考えます。