8.7. 项目安全管理
安全组是一组 IP 过滤规则，可分配给项目实例，用于定义对实例的网络访问。安全组是特定于项目的；项目成员可以编辑其安全组的默认规则，并添加新的规则集。
所有项目都有一个默认安全组，它应用到没有其他定义的安全组的任何实例。除非更改默认值，否则此安全组拒绝所有传入的流量，并且只允许来自实例的传出流量。
您可以在实例创建过程中直接将安全组应用到实例，或应用到正在运行的实例上的端口。
您无法在实例创建过程中将基于角色的访问控制 (RBAC) 共享安全组直接应用到实例。要将 RBAC 共享安全组应用到实例，您必须首先创建端口，将共享安全组应用到该端口，然后将该端口分配给实例。请参阅 创建和管理实例 中的 向端口添加安全组。
不要在不创建允许所需出口的组的情况下删除默认安全组。例如，如果您的实例使用 DHCP 和元数据，您的实例需要安全组规则来允许到 DHCP 服务器和元数据代理的出口。
8.7.1. 创建安全组
创建安全组，以便您可以配置安全规则。例如，您可以启用 ICMP 流量，或者禁用 HTTP 请求。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，单击 Create Security Group。
- 输入组的名称和描述，然后单击 创建安全组。
8.7.2. 添加安全组规则
默认情况下，新组的规则仅提供传出访问。您必须添加新规则以提供额外的访问权限。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点您要编辑的安全组的管理规则。
- 单击 Add Rule 以添加新规则。
指定规则值，然后单击 Add。
需要以下规则字段：
- 规则
节点类型。如果您指定了规则模板（如 SSH），则会自动填写其字段：
- TCP：通常用于在系统之间交换数据，以及用于最终用户通信。
- UDP：通常用于在系统间交换数据，特别是在应用程序级别。
- ICMP：网络设备（如路由器）使用来发送错误或监控消息。
- 方向
- Ingress （入站）或 Egress （出站）。
- 打开端口
对于 TCP 或 UDP 规则，打开 Port 或 Port Range（单个端口或端口范围）：
- 对于一系列端口，在 From Port 和 To Port 字段中输入 port 值。
- 对于单个端口，在 Port 字段中输入端口值。
- 类型
- ICMP 规则的类型；必须在范围-1: 255 中。
- 代码
- ICMP 规则的代码；必须在范围-1: 255 中。
- 远程
此规则的流量源：
- CIDR (Classless Inter-Domain Routing): IP 地址块，它限制对块中的 IP 的访问。在 Source 字段中输入 CIDR。
- 安全组：允许组中的任何实例访问任何其他组实例的 Source 组。
8.7.3. 删除安全组规则
删除您不再需要的安全组规则。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点安全组的管理规则。
- 选择安全组规则，然后点删除规则。
- 再次单击 Delete Rule。
您无法撤销 delete 操作。
8.7.4. 删除安全组
删除您不再需要的安全组。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，选择组，再单击 Delete Security Groups。
- 单击 Delete Security Groups。
您无法撤销 delete 操作。
