6.7. 项目安全管理
安全组是 IP 过滤规则的集合，可以分配给项目实例，以及定义实例的网络访问。安全组是特定于项目的；项目成员可以编辑其安全组的默认规则，并且添加新的规则集。
所有项目都有一个默认安全组，应用到没有其他定义的安全组的任何实例。除非更改了默认值，否则此安全组拒绝所有传入流量，并且仅允许来自您的实例的传出流量。
您可以在实例创建过程中直接将安全组应用到实例，或应用到正在运行的实例上的端口。
您无法在实例创建过程中将基于角色的访问控制(RBAC)共享安全组直接应用到实例。要将 RBAC 共享安全组应用到实例，您必须首先创建端口，将共享安全组应用到该端口，然后将该端口分配给实例。请参阅 向端口 添加安全组。
不要在不创建允许所需出口的组的情况下删除默认安全组。例如，如果您的实例使用 DHCP 和元数据，您的实例需要安全组规则来允许到 DHCP 服务器和元数据代理的出口。
6.7.1. 创建安全组
创建安全组，以便您可以配置安全规则。例如，您可以启用 ICMP 流量，或者禁用 HTTP 请求。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点 Create Security Group。
- 输入组的名称和描述，再单击 Create Security Group。
6.7.2. 添加安全组规则
默认情况下，新组的规则仅提供传出访问。您必须添加新规则才能提供额外的访问。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点您要编辑的安全组的管理规则。
- 单击 Add Rule 以添加新规则。
指定规则值，然后点 Add。
以下规则字段是必需的：
- 规则
规则类型。如果您指定了规则模板（如 'SSH'），则会自动填写其字段：
- TCP：通常用来在系统之间交换数据，以及用于最终用户通信。
- UDP：在系统间交换数据，特别是在应用程序级别。
- ICMP：由网络设备（如路由器）使用来发送错误或监控消息。
- 方向
- Ingress (inbound)或 Egress (outbound)。
- 打开端口
对于 TCP 或 UDP 规则，打开 Port 或 Port Range（单个端口或端口范围）：
- 对于一系列端口，在 From Port 和 To Port 字段中输入端口值。
- 对于单个端口，在 Port 字段中输入端口值。
- 类型
- ICMP 规则的类型；必须在范围 '-1:255' 中。
- 代码
- ICMP 规则的代码；必须在范围 '-1:255' 中。
- 远程
此规则的流量源：
- CIDR (Classless Inter-Domain Routing)：IP 地址块，限制对块中 IP 的访问。在 Source 字段中输入 CIDR。
- 安全组：允许组中的任何实例访问任何其他组实例的 Source 组。
6.7.3. 删除安全组规则
删除您不再需要的安全组规则。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，点安全组的管理规则。
- 选择安全组规则，然后点删除规则。
- 再次单击 Delete Rule。
您不能撤销删除操作。
6.7.4. 删除安全组
删除您不再需要的安全组。
流程
- 在控制面板中，选择 Project > Compute > Access & Security。
- 在 Security Groups 选项卡中，选择组，然后单击 Delete Security Groups。
- 单击 Delete Security Groups。
您不能撤销删除操作。
