1. Oracle Cloud Infrastructure Compute Classicの使用
  2. 共有ネットワークの構成
  3. セキュリティ・リストの管理
機械翻訳について

セキュリティ・リストの管理

トピック

セキュリティ・リストについて

セキュリティ・リストは、1つ以上の「セキュリティ・ルール」でソースまたは宛先として指定できるCompute Classicインスタンスのグループです。 「セキュリティ・リスト」内のインスタンスは、すべてのポートで、プライベートIPアドレスを使用して同じ「セキュリティ・リスト」内の他のインスタンスと完全に通信できます。

インスタンスをセキュリティ・リストへ追加すると、そのセキュリティ・リストのインバウンド・ポリシーおよびアウトバウンド・ポリシーがそのインスタンスに適用可能となります。

  • セキュリティ・リストへ向かうトラフィックのフローは、インバウンド・ポリシーによって制御されます。 インバウンド・ポリシーは、常にdenyに設定されています。そのため、デフォルトでは、セキュリティ・リスト外のソースからのトラフィックは、セキュリティ・リストに含まれるインスタンスにはアクセスできません。
  • セキュリティ・リストから外へのトラフィックのフローは、アウトバウンド・ポリシーによって制御されます。 たとえば、アウトバウンド・ポリシーがdenyに設定されている場合、パケットはセキュリティ・リストから外へ出られません。 セキュリティ・リスト内のインスタンスに対してセキュリティ・リスト外のホストとの通信を許可するには、アウトバウンド・ポリシーをpermitに設定します。

デフォルトでは、セキュリティ・リストのインバウンド・ポリシーはdeny、アウトバウンド・ポリシーはpermitに設定されています。 ただし、セキュリティ・リストを作成するときに、異なるアウトバウンド・ポリシーを指定できます。 アウトバウンド・ポリシーにdenyを指定した場合、そのポリシーをオーバーライドするセキュリティ・ルールを設定できます。 同様に、指定のソースから当該セキュリティ・リスト内のインスタンスへのインバウンド・トラフィックを指定のプロトコルやポートで許可するようにセキュリティ・ルールを作成できます。

注意:

セキュリティ・ルールは、denyに設定されているポリシーに対してのみ機能します。 セキュリティ・リストのアウトバウンド・ポリシーがpermit(デフォルト)に設定されている場合は、当該セキュリティ・リスト内のインスタンスからのアウトバウンド・トラフィックを可能にするようにセキュリティ・ルールを定義する必要はありません。

セキュリティ・ルールを作成する際、そのセキュリティ・ルールでソースまたは宛先としてセキュリティ・リストを指定できます。 セキュリティ・リストは、最大10個のセキュリティ・ルールでソースまたは宛先として指定できます。

次の図に、インスタンスとセキュリティ・リストとの関係を示します。

インバウンド・ポリシーとアウトバウンド・ポリシーが異なるセキュリティ・リスト間の通信パス
この図の説明は次のとおりです。

  • Security-list-cのインバウンド・ポリシーはpermitに設定されています。 したがって、矢印で示されているように、他のセキュリティ・リストからのトラフィックがこのセキュリティ・リスト内のインスタンスにアクセスできます。 インターネットからのトラフィックも、このセキュリティ・リスト内のインスタンスにアクセスできます。

    注意:

    Webコンソールでは、インバウンド・ポリシーをpermitには指定できません。 これは、インバウンド・ポリシーをpermitに設定して有効にすると、ファイアウォールが無効になるためです。 このインバウンド・ポリシーを指定する必要がある場合は、PUTまたはPOST /seclist/ API method「またはopc compute security-list addまたはopc compute security-list update CLIコマンド」を使用します。

  • Security-list-aとSecurity-list-bのインバウンド・ポリシーはdenyです。 したがって、これらのセキュリティ・リスト内のインスタンスはセキュリティ・リスト外のホストからトラフィックを受信できません。

インスタンスを5つまでセキュリティ・リストに追加できます。

注意:

ポリシーの異なる複数のセキュリティ・リストに1つのインスタンスを追加した場合、最も制限の大きいポリシーがインスタンスに適用可能です。 たとえば、前述の図では、Inst_4は、インバウンド・ポリシーがpermitのSecurity-list-c内にあります。 Security-list-b(インバウンド・ポリシーはdeny)にもInst_4を追加した場合は、Inst_4の有効なインバウンド・ポリシーはdenyになります。

ただし、セキュリティ・リスト内のすべてのインスタンスは、すべてのプロトコルとポートで相互通信できることに注意してください。 そのため、このシナリオの場合、Inst_4は、Security-list-c内のInst_5、およびSecurity-list-b内のInst_6、Inst_7、Inst_8、Inst_9と通信できます。

セキュリティ・リストの作成

セキュリティ・リストは、1つ以上の「セキュリティ・ルール」でソースまたは宛先として指定できるCompute Classicインスタンスのグループです。 「セキュリティ・リスト」内のインスタンスは、すべてのポートで、プライベートIPアドレスを使用して同じ「セキュリティ・リスト」内の他のインスタンスと完全に通信できます。

このタスクを実行するには、Compute_Operationsのロールが必要です。 このロールが自分に割り当てられていない場合または不確実な場合は、システム管理者にOracle Cloud 「Infrastructure Classicコンソール」でそのロールが割り当てられていることを確認するように依頼してください。 「Oracle Cloudの管理とモニタリング」の「ユーザー・ロールの変更」を参照してください。

  1. Compute Classicコンソールにサインインします。 ドメインが複数のサイトにまたがっている場合は、適切なサイトを選択します。 サイトを変更するには、ページの上部近くにある「Site」メニューをクリックします。
  2. 「Network」タブをクリックします。
  3. 「ネットワーク」ドロップダウン・リストで、「共有ネットワーク」を展開し、「セキュリティ・リスト」をクリックします。
  4. 「Create Security List」をクリックします。
  5. 必要な詳細(名前および説明、インバウンド・ポリシーおよびアウトバウンド・ポリシー)を入力または選択して、「Create」をクリックします。

CLIを使用して「セキュリティ・リスト」を作成するには、opc compute sec-list addコマンドを使用します。 このコマンドのヘルプについては、-hオプションを指定してコマンドを実行してください。 CLIクライアントのインストール手順については、「Oracle Cloud Infrastructure Compute ClassicのCLIリファレンスのCompute Classic CLIの使用準備」を参照してください。

APIを使用してセキュリティ・リストを作成するには、POST /seclist/メソッドを使用します。 「Oracle Cloud Infrastructure Compute ClassicのREST API」を参照してください。

オーケストレーションを使用してセキュリティ・リストを作成することもできます。 Orchestration v1各オブジェクト・タイプに固有の属性またはOrchestration v2各オブジェクト・タイプに固有の属性を参照してください。

セキュリティ・リストの更新

セキュリティ・リストを作成した後、インバウンド・ポリシーおよびアウトバウンド・ポリシーと同様に、その説明を変更するようにいつでも更新できます。

前提条件

  • このタスクを実行するには、Compute_Operationsのロールが必要です。 このロールが自分に割り当てられていない場合または不確実な場合は、システム管理者にOracle Cloud 「Infrastructure Classicコンソール」でそのロールが割り当てられていることを確認するように依頼してください。 「Oracle Cloudの管理とモニタリング」の「ユーザー・ロールの変更」を参照してください。

注意:

オーケストレーションを使用して作成したリソースを管理するには、常にオーケストレーションを使用する必要があります。 たとえば、Webコンソールまたは「CLIまたは」 REST APIを使用して、オーケストレーションを使用して作成したオブジェクトを更新しないでください。 これにより、オーケストレーションがオブジェクトと関連するリソースを再作成しようとするか、エラー状態になる可能性があります。 「オーケストレーションを更新するためのワークフローv2」を参照してください。

  1. Compute Classicコンソールにサインインします。 ドメインが複数のサイトにまたがっている場合は、適切なサイトを選択します。 サイトを変更するには、ページの上部近くにある「Site」メニューをクリックします。
  2. 「Network」タブをクリックします。
  3. 「ネットワーク」ドロップダウン・リストで、「共有ネットワーク」を展開し、「セキュリティ・リスト」をクリックします。
  4. 更新するセキュリティ・リストを特定します。 メニュー・アイコンメニューから「Update」を選択します。
  5. 必要な変更を行ってから、「Update」をクリックします。

CLIを使用して「セキュリティ・リスト」を更新するには、opc compute sec-list updateコマンドを使用します。 このコマンドのヘルプについては、-hオプションを指定してコマンドを実行してください。 CLIクライアントのインストール手順については、「Oracle Cloud Infrastructure Compute ClassicのCLIリファレンスのCompute Classic CLIの使用準備」を参照してください。

APIを使用してセキュリティ・リストを更新するには、PUT /seclist/nameメソッドを使用します。 「Oracle Cloud Infrastructure Compute ClassicのREST API」を参照してください。

インスタンスのセキュリティ・リストへの追加

インスタンスは、インスタンスの作成時か、または後でインスタンスの更新によって、セキュリティ・リストに追加できます。

「「Instances」ページからのインスタンスの作成」および「インスタンスの更新」を参照してください。

インスタンスのセキュリティ・リストからの削除

他のホストがインスタンスにアクセスしないようにする場合は、そのインスタンスがアタッチされているセキュリティ・リストからインスタンスを削除します。 これは、メンテナンス・アクティビティの実行、アプリケーションの変更またはアップグレードなどを実行するときに便利です。

「インスタンスの更新」を参照してください。

セキュリティ・リストの削除

どのインスタンスまたはセキュリティ・ルールにも使用されていないセキュリティ・リストを削除できます。

前提条件

  • このタスクを実行するには、Compute_Operationsのロールが必要です。 このロールが自分に割り当てられていない場合または不確実な場合は、システム管理者にOracle Cloud 「Infrastructure Classicコンソール」でそのロールが割り当てられていることを確認するように依頼してください。 「Oracle Cloudの管理とモニタリング」の「ユーザー・ロールの変更」を参照してください。

  • 削除対象のセキュリティ・リストにインスタンスがアタッチされていないことを確認します。

  • 削除対象のセキュリティ・リストを使用しているセキュリティ・ルールがないことを確認します。

注意:

オーケストレーションを使用して作成したリソースを管理するには、常にオーケストレーションを使用する必要があります。 たとえば、Webコンソールまたは「CLIまたは」 REST APIを使用して、Orchestrationを使用して作成したオブジェクトを削除しないでください。 これにより、オーケストレーションがオブジェクトと関連するリソースを再作成しようとするか、エラー状態になる可能性があります。

Orchestration v1を使用してオブジェクトを作成した場合は、オーケストレーションを終了してオブジェクトを削除できます。 「Orchestration v1の終了」を参照してください。

Orchestration v2を使用してオブジェクトを作成した場合は、suspending、終了、またはオーケストレーションの更新によってオブジェクトを削除できます。 「Orchestration v2のサスペンド」、「Orchestration v2の終了」、または「Orchestration v2の更新」を参照してください。

プロシージャ

  1. Compute Classicコンソールにサインインします。 ドメインが複数のサイトにまたがっている場合は、適切なサイトを選択します。 サイトを変更するには、ページの上部近くにある「Site」メニューをクリックします。
  2. 「Network」タブをクリックします。
  3. 「ネットワーク」ドロップダウン・リストで、「共有ネットワーク」を展開し、「セキュリティ・リスト」をクリックします。
  4. 削除対象のセキュリティ・リストを特定します。 メニュー・アイコンメニューから「Delete」を選択します。

CLIを使用して「セキュリティ・リスト」を削除するには、opc compute sec-list deleteコマンドを使用します。 このコマンドのヘルプについては、-hオプションを指定してコマンドを実行してください。 CLIクライアントのインストール手順については、「Oracle Cloud Infrastructure Compute ClassicのCLIリファレンスのCompute Classic CLIの使用準備」を参照してください。

APIを使用してセキュリティ・リストを削除するには、DELETE /seclist/nameメソッドを使用します。 「Oracle Cloud Infrastructure Compute ClassicのREST API」を参照してください。