8.2. セキュリティーグループとキーペアを使用したインスタンスアクセスのセキュリティー保護

手順

1. (オプション) 必要なセキュリティーグループが存在しないことを確認するには、利用可能なセキュリティーグループとそのルールを確認します。

   $ openstack security group list
   $ openstack security group rule list <sec_group>

   • <sec_group> を、利用可能なセキュリティーグループのリストから取得したセキュリティーグループの名前または ID に置き換えてください。

2. セキュリティーグループを作成します。

   $ openstack security group create mySecGroup

3. セキュリティーグループにルールを追加します。

   $ openstack security group rule create --protocol <protocol> \
   [--dst-port <port-range>] \
   [--remote-ip <ip-address> | --remote-group <group>] \
   [--ingress | --egress] mySecGroup

   • <protocol> を、インスタンスとの通信に許可するプロトコルの名前に置き換えます。
   • (オプション) <port-range> を、プロトコル用に開く送信先ポートまたはポート範囲に置き換えます。IP プロトコル (TCP、UDP、および SCTP) には必須です。指定されたプロトコルに対するすべてのポートを許可するには、-1 に設定します。
   • (オプション) 指定した IP アドレスからのアクセスのみを許可するには、--remote-ip を使用してリモート IP アドレスブロックを指定するか、--remote-group を使用して、ルールがリモートグループのメンバーであるインターフェイスからのパケットにのみ適用されることを指定します。--remote-ip を使用する場合は、<ip-address> をリモート IP アドレスブロックに置き換えます。CIDR 表記を使用できます。--remote-group を使用する場合は、<group> を既存のセキュリティーグループの名前または ID に置き換えてください。いずれのオプションも指定されない場合は、リモート IP アクセス範囲のデフォルトは IPv4 が 0.0.0.0/0、IPv6 が ::/0 なので、すべてのアドレスにアクセスが許可されます。
   • プロトコルルールが適用されるネットワークトラフィックの方向、つまり受信 (ingress) または送信 (egress) のいずれかを指定します。指定されない場合、デフォルトは ingress に設定されます。

4. インスタンスへのアクセスを許可するすべてのプロトコルに対してルールが作成されるまで、ステップ 3 を繰り返します。以下の例では、セキュリティーグループ mySecGroup のインスタンスへの SSH 接続を許可するルールを作成します。

   $ openstack security group rule create --protocol tcp \
    --dst-port 22 mySecGroup

手順

1. ルールを更新するセキュリティーグループの名前または ID を取得します。

   $ openstack security group list

2. セキュリティーグループに適用する必要があるルールを決定します。

3. セキュリティーグループにルールを追加します。

   $ openstack security group rule create --protocol <protocol> \
   [--dst-port <port-range>] \
   [--remote-ip <ip-address> | --remote-group <group>] \
   [--ingress | --egress] <group_name>

   • <protocol> を、インスタンスとの通信に許可するプロトコルの名前に置き換えます。
   • (オプション) <port-range> を、プロトコル用に開く送信先ポートまたはポート範囲に置き換えます。IP プロトコル (TCP、UDP、および SCTP) には必須です。指定されたプロトコルに対するすべてのポートを許可するには、-1 に設定します。
   • (オプション) 指定した IP アドレスからのアクセスのみを許可するには、--remote-ip を使用してリモート IP アドレスブロックを指定するか、--remote-group を使用して、ルールがリモートグループのメンバーであるインターフェイスからのパケットにのみ適用されることを指定します。--remote-ip を使用する場合は、<ip-address> をリモート IP アドレスブロックに置き換えます。CIDR 表記を使用できます。--remote-group を使用する場合は、<group> を既存のセキュリティーグループの名前または ID に置き換えてください。いずれのオプションも指定されない場合は、リモート IP アクセス範囲のデフォルトは IPv4 が 0.0.0.0/0、IPv6 が ::/0 なので、すべてのアドレスにアクセスが許可されます。
   • プロトコルルールが適用されるネットワークトラフィックの方向、つまり受信 (ingress) または送信 (egress) のいずれかを指定します。指定されない場合、デフォルトは ingress に設定されます。
   • <group_name> を、ルールを適用するセキュリティーグループの名前または ID に置き換えてください。

4. インスタンスへのアクセスを許可するすべてのプロトコルに対してルールが作成されるまで、ステップ 3 を繰り返します。以下の例では、セキュリティーグループ mySecGroup のインスタンスへの SSH 接続を許可するルールを作成します。

   $ openstack security group rule create --protocol tcp \
    --dst-port 22 mySecGroup

手順

1. ルールが適用されるセキュリティーグループを特定します。

   $ openstack security group list

2. セキュリティーグループに関連付けられたルールの ID を取得します。

   $ openstack security group show <sec-group>

3. ルールを削除します。

   $ openstack security group rule delete <rule> [<rule> ...]

   <rule> を、削除するルールの ID に置き換えます。削除するルールの ID のスペース区切りのリストを指定して、一度に複数のルールを削除できます。

手順

1. セキュリティーグループを適用するインスタンスのポートを決定します。

   $ openstack port list --server myInstancewithSSH

2. セキュリティーグループをポートに適用します。

   $ openstack port set --security-group <sec_group> <port>

   <sec_group> を、実行中のインスタンスのポートに適用するセキュリティーグループの名前または ID に置き換えてください。必要に応じて、--security-group オプションを複数回使用して、複数のセキュリティーグループを適用できます。

手順

1. ポートに関連付けられたセキュリティーグループのリストを表示し、ポートに関連付けたままにするセキュリティーグループの ID を記録します。

   $ openstack port show <port>

2. ポートに関連付けられたセキュリティーグループをすべて削除します。

   $ openstack port set --no-security-group <port>

3. セキュリティーグループをポートに再適用します。

   $ openstack port set --security-group <sec_group> <port>

   <sec_group> を、実行中のインスタンスのポートに再度適用するセキュリティーグループの ID に置き換えてください。必要に応じて、--security-group オプションを複数回使用して、複数のセキュリティーグループを適用できます。

手順

1. 削除するセキュリティーグループの名前または ID を取得します。

   $ openstack security group list

2. 利用可能なポートのリストを取得します。

   $ openstack port list

3. 各ポートで関連付けられたセキュリティーグループを確認します。

   $ openstack port show <port-uuid> -c security_group_ids

   削除するセキュリティーグループがポートのいずれかに関連付けられている場合は、まずポートからそのセキュリティーグループを削除する必要があります。詳細は、ポートからのセキュリティーグループの削除 を参照してください。

4. セキュリティーグループを削除します。

   $ openstack security group delete <group> [<group> ...]

   <group> を削除するグループの ID に置き換えます。削除するグループの ID のスペース区切りのリストを指定して、一度に複数のグループを削除できます。

手順

1. キーペアを作成し、秘密鍵をローカルの .ssh ディレクトリーに保存します。

   $ openstack keypair create <keypair> > ~/.ssh/<keypair>.pem

   <keypair> を新しいキーペアの名前に置き換えます。

2. 秘密鍵を保護します。

   $ chmod 600 ~/.ssh/<keypair>.pem

手順

1. 既存のキーファイルからキーペアを作成し、秘密鍵をローカルの .ssh ディレクトリーに保存します。

   • 既存の公開鍵ファイルからキーペアをインポートするには、以下のコマンドを入力します。

     $ openstack keypair create --public-key ~/.ssh/<public_key>.pub \
      <keypair> > ~/.ssh/<keypair>.pem

     • <public_key> を、キーペアの作成に使用する秘密鍵ファイルの名前に置き換えます。
     • <keypair> を新しいキーペアの名前に置き換えます。

   • 既存の秘密鍵ファイルからキーペアをインポートするには、以下のコマンドを入力します。

     $ openstack keypair create --private-key ~/.ssh/<private_key> \
      <keypair> > ~/.ssh/<keypair>.pem

     • <private_key> を、キーペアの作成に使用する秘密鍵ファイルの名前に置き換えます。
     • <keypair> を新しいキーペアの名前に置き換えます。

2. 秘密鍵を保護します。

   $ chmod 600 ~/.ssh/<keypair>.pem