6.3. 项目安全管理
安全组是可分配给项目实例的 IP 过滤器规则集合，用于定义对实例的网络访问。安全组特定于项目；项目成员可以编辑其安全组的默认规则，并添加新规则集。
所有项目都有一个默认安全组，应用到没有其他定义的安全组的任何实例。除非更改默认值，否则此安全组会拒绝所有传入的流量，并且只允许来自您的实例的传出流量。
您可以在实例创建过程中直接将安全组应用到实例，或应用到正在运行的实例上的端口。
注意
您不能在实例创建过程中将基于角色的访问控制(RBAC)共享安全组直接应用到实例。要将 RBAC 共享安全组应用到实例，必须首先创建端口，将共享安全组应用到该端口，然后将该端口分配给实例。请参阅 将安全组添加到端口。
在不创建允许所需出口的组的情况下，不要删除默认安全组。例如，如果您的实例使用 DHCP 和元数据，您的实例需要安全组规则来允许到 DHCP 服务器和元数据代理的出口。
6.3.1. 创建安全组
- 在仪表板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，单击 Create Security Group。
- 输入组的名称和描述，然后单击 Create Security Group。
6.3.2. 添加安全组规则
默认情况下，新组的规则仅提供传出访问。您必须添加新规则来提供其他访问权限。
- 在仪表板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点您要编辑的安全组的管理规则。
- 单击 Add Rule 以添加新规则。
指定规则值，然后单击 Add。
以下规则字段是必需的：
- 规则
规则类型。如果您指定一个规则模板（例如，SSH），其字段会自动填写：
- TCP：用来在系统之间交换数据，以及用于最终用户通信。
- UDP：用来在系统间交换数据，特别是在应用程序级别。
- ICMP：由网络设备（如路由器）使用来发送错误或监控消息。
- 方向
- Ingress （入站）或 Egress （出站）。
- 打开端口
对于 TCP 或 UDP 规则，打开 Port 或 Port Range（单个端口或端口范围）：
- 对于端口范围，在 From Port 和 To Port 字段中输入 port 值。
- 对于单个端口，在 Port 字段中输入 port 值。
- 类型
- ICMP 规则的类型；必须在 -1:255 之间。
- 代码
- ICMP 规则的代码；必须在 -1:255 之间。
- 远程
此规则的流量源：
- CIDR (Classless Inter-Domain Routing)：IP 地址块，限制对块内 IP 的访问。在 Source 字段中输入 CIDR。
- 安全组：源组，使组中的任何实例能够访问任何其他组实例。
6.3.3. 删除安全组规则
- 在仪表板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡上，点安全组的管理规则。
- 选择安全组规则，然后点删除规则。
- 再次点 Delete Rule。
注意
您无法撤销 delete 操作。
6.3.4. 删除安全组
- 在仪表板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，选择组，然后单击 Delete Security Groups。
- 单击 Delete Security Groups。
注意
您无法撤销 delete 操作。
