第19章 セキュリティーグループの設定

手順

1. (オプション) 必要なセキュリティーグループが存在しないことを確認するには、利用可能なセキュリティーグループとそのルールを確認します。

   $ openstack security group list
   $ openstack security group rule list <sec_group>

   Copy to Clipboard Toggle word wrap
   • <sec_group> を、利用可能なセキュリティーグループのリストから取得したセキュリティーグループの名前または ID に置き換えてください。

2. .セキュリティーグループを作成します。

   $ openstack security group create [--stateless] mySecGroup

   Copy to Clipboard Toggle word wrap

   • オプション: --stateless オプションを追加して、ステートレスセキュリティーグループを作成します。デフォルトでは、セキュリティーグループはステートフルです。

     注記

     ML2/OVN デプロイメントのみがステートレスセキュリティーグループをサポートします。

3. セキュリティーグループにルールを追加します。

   $ openstack security group rule create --protocol <protocol> \
   [--dst-port <port-range>] \
   [--remote-ip <ip-address> | --remote-group <group>] \
   [--ingress | --egress] mySecGroup

   Copy to Clipboard Toggle word wrap
   • <protocol> を、インスタンスとの通信に許可するプロトコルの名前に置き換えます。
   • (オプション) <port-range> を、プロトコル用に開く送信先ポートまたはポート範囲に置き換えます。IP プロトコル (TCP、UDP、および SCTP) には必須です。指定されたプロトコルに対するすべてのポートを許可するには、-1 に設定します。ポート範囲の値はコロンで区切ります。
   • (オプション) 指定した IP アドレスからのアクセスのみを許可するには、--remote-ip を使用してリモート IP アドレスブロックを指定するか、--remote-group を使用して、ルールがリモートグループのメンバーであるインターフェイスからのパケットにのみ適用されることを指定します。--remote-ip を使用する場合は、<ip-address> をリモート IP アドレスブロックに置き換えます。CIDR 表記を使用できます。--remote-group を使用する場合は、<group> を既存のセキュリティーグループの名前または ID に置き換えてください。いずれのオプションも指定されない場合は、リモート IP アクセス範囲のデフォルトは IPv4 が 0.0.0.0/0、IPv6 が ::/0 なので、すべてのアドレスにアクセスが許可されます。

   • プロトコルルールが適用されるネットワークトラフィックの方向、つまり受信 (ingress) または送信 (egress) のいずれかを指定します。指定されない場合、デフォルトは ingress に設定されます。

     注記

     ステートレスセキュリティーグループを作成し、ステートレスセキュリティーグループにあるポートからの送信 TCP トラフィックを許可するルールを作成した場合は、受信応答を許可するルールも作成する必要があります。

4. インスタンスへのアクセスを許可するすべてのプロトコルに対してルールが作成されるまで、ステップ 3 を繰り返します。以下の例では、セキュリティーグループ mySecGroup のインスタンスへの SSH 接続を許可するルールを作成します。

   $ openstack security group rule create --protocol tcp \
    --dst-port 22 mySecGroup

   Copy to Clipboard Toggle word wrap