手順1：すでに作成されているサーバーインスタンスにセキュリティグループを適用したい場合(セキュリティグループメニューでの設定)

ここでは、これまですでに使っていた環境にセキュリティグループを適用したい場合の設定手順を説明します。

ロジカルネットワーク及びサーバーインスタンスが作成済みで新たにセキュリティグループを作成・適用する場合には本手順をご覧ください。

なお本手順は、セキュリティグループの適用操作をセキュリティグループメニュー画面から行うパターンの手順となります。


1. ロジカルネットワーク の作成

ロジカルネットワークを作成します。（既に作成されている場合は、次の手順に進んでください。）

次のパラメータを入力し、ロジカルネットワークを2つ作成します。

ロジカルネットワークの詳細な作成手順は こちら をご確認ください。


ロジカルネットワーク1 設定

create_logicalnetwork_01-1

ロジカルネットワーク2 設定

create_logicalnetwork_01-2

タブ名

項目名

ロジカルネットワーク1

ロジカルネットワーク2

ロジカルネットワークタブ

ロジカルネットワーク名

WEB_NW

SV_NW

プレーン

データ用

データ用

ロジカルネットワークの説明

ロジカルネットワークのタグ

管理状態

UP

UP

サブネットタブ

サブネット名

web_seg

sv_seg

ネットワークアドレス

192.168.100.0/24

172.16.10.0/24

ゲートウェイIP

192.168.100.251

172.16.10.251

ゲートウェイなし

チェックしない

チェックしない

サブネットの詳細タブ

DHCP 有効

チェックを入れる

チェックを入れる

IP アドレス割り当てプール

DNS サーバーなし

チェックを入れる

チェックを入れる

追加のルート設定

サブネットの説明

サブネットのタグ

2. サーバーインスタンス の作成

次に、サーバーインスタンスを作成します。（既に作成されている場合は、次の手順に進んでください。）

「仮想サーバー」「サーバーインスタンス」「インスタンス」より、「インスタンスの作成」をクリックします。

次のパラメータを入力し、サーバーインスタンスを作成します。

サーバーインスタンスの詳細な作成手順は こちら をご確認ください。

WEBサーバー（WEB_SV）設定

create_sv_01-1

タブ名

項目名

WEBサーバー

詳細タブ

ゾーン/グループ

zone1_groupb

インスタンス名

WEB_SV

フレーバー

1CPU-4GB

インスタンスのブートソース

イメージから起動

イメージ名

WindowsServer-2019_Datacenter_64_include-license_virtual-server_12

ネットワークタブ

選択済みロジカルネットワーク

WEB_NW (IP：192.168.100.251)、SV_NW (IP：172.16.10.251)

続けて同手順で次のパラメータに従いAPPサーバー1（SV_1）～DBサーバー（SV_4）まで作成します。

タブ名

項目名

APPサーバー1

APPサーバー2

DBサーバー1

DBサーバー2

詳細タブ

ゾーン/グループ

zone1_groupb

zone1_groupb

zone1_groupb

zone1_groupb

インスタンス名

SV_1

SV_2

SV_3

SV_4

フレーバー

1CPU-4GB

1CPU-4GB

1CPU-4GB

1CPU-4GB

インスタンスのブートソース

イメージから起動

イメージから起動

イメージから起動

イメージから起動

イメージ名

WindowsServer-2019_Datacenter_64_include-license_virtual-server_12

WindowsServer-2019_Datacenter_64_include-license_virtual-server_12

WindowsServer-2019_Datacenter_64_include-license_virtual-server_12

WindowsServer-2019_Datacenter_64_include-license_virtual-server_12

ネットワークタブ

選択済みロジカルネットワーク

SV_NW (IP：172.16.10.11)

SV_NW (IP：172.16.10.12)

SV_NW (IP：172.16.10.13)

SV_NW (IP：172.16.10.14)

注釈

　作成したセキュリティグループのルールが正常に割り当てられているかシステムテストにて確認するため各サーバーインスタンスのファイアウォールはOFFにするようにしてください。
　ファイアウォールがONになっているとシステムテストの際にPING（ICMP）がファイアウォールにて遮断されシステムテストが正常に行えません。

3. セキュリティグループ の設定

セキュリティグループの作成からルールの設定について説明します。

セキュリティグループの作成は次の手順により構成されます。

3-1. セキュリティグループの作成 3-2. ポートに適用 3-3. ルールの作成

注釈

　作業開始前のサーバーインスタンス、すなわち、ポートにお客様独自のセキュリティグループを設定していない段階では、「あらかじめ用意されているセキュリティグループ」が適用されています。
　「あらかじめ用意されているセキュリティグループ」の挙動を理解しておいてください。
　「あらかじめ用意されているセキュリティグループ」については こちら をご確認ください。

3-1. セキュリティグループの作成

ロジカルネットワークのポートに割り当てるセキュリティグループを作成します。


  1. 左ペインの「クラウド/サーバー ネットワークセキュリティ」から「セキュリティグループ」をクリックします。

sg_create_sg_01

  1. 「セキュリティグループの作成」をクリックします。

sg_create_sg_02

  1. 次のパラメータを入力し「セキュリティグループの作成」をクリックします。

セキュリティグループ名

SG_1

説明

タグ
sg_create_sg_03

  1. 続けて同手順で次のセキュリティグループを作成します。

セキュリティグループ名

SG_2

SG_3

SG_4

説明

タグ

5.SG_1～SG_4まで4つ次のように作成できたことを確認します。

sg_create_sg_04

3-2. ポートに適用

作成したセキュリティグループを機能させるため、セキュリティグループをロジカルネットワークのポートに割り当てます。


  1. 作成されたセキュリティグループ「SG_1」をクリックします。

sg_add_port_01

  1. 詳細画面の概要タブで「ポートに適用」をクリックします。

sg_add_port_02

  1. セキュリティグループにて「適用可能なポート」から次のポートについて、「permit-anyを外す」をクリックし、「＋」をクリックします。その後「選択済みのポート」に適用したら「ポートに適用」をクリックします。

※ あらかじめ設定されているセキュリティグループ「Permit-any」がポートに適用されている状態だと全ての通信が許可されてしまうため本手順ではこの作業が必要になります。

セキュリティグループ名

SG_1

適用するポート

「インスタンス名：WEB_SV、IPアドレス：192.168.100.251」のポート
sg_add_port_03

  1. 続けて同手順で次のセキュリティグループのポートに適用をします。

セキュリティグループ名

SG_2

SG_3

SG_4

適用するポート

「インスタンス名：WEB_SV、IPアドレス：172.16.10.251」のポート
「インスタンス名：SV_1、IPアドレス：172.16.10.11」のポート、
「インスタンス名：SV_2、IPアドレス：172.16.10.12」のポート
「インスタンス名：SV_3、IPアドレス：172.16.10.13」のポート、
「インスタンス名：SV_4、IPアドレス：172.16.10.14」のポート
sg_add_port_04

3-3. ルールの作成

ロジカルネットワークのポートに適用したセキュリティグループに対して許可する通信のルールを作成します。


外部通信の許可として次の許可ルールを追加します。

・ WEBサーバー（WEB_SV）に適用されている「SG_1」にTCPポート80の通信を許可するルール


内部通信の許可として次の許可ルールを追加します。

・ WEBサーバー（WEB_SV）のセキュリティグループ「SG_2」と、APPサーバー（SV_1/SV_2）のセキュリティグループ「SG_3」とのICMP通信を許可するルール

・ WEBサーバー（WEB_SV）のセキュリティグループ「SG_2」と、DBサーバー（SV_3/SV_4）のセキュリティグループ「SG_4」とのICMP通信を許可するルール

・ APPサーバー（SV_1/SV_2）のセキュリティグループ「SG_3」間のICMP通信を許可するルール

・ APPサーバー（SV_1/SV_2）のセキュリティグループ「SG_3」からWEBサーバー（WEB_SV）のセキュリティグループ「SG_2」とのICMP通信を許可するルール

・ DBサーバー（SV_3/SV_4）のセキュリティグループ「SG_4」間のICMP通信を許可するルール

・ DBサーバー（SV_3/SV_4）のセキュリティグループ「SG_4」からWEBサーバー（WEB_SV）のセキュリティグループ「SG_2」とのICMP通信を許可するルール


  1. 詳細画面の「インバウンドルール」タブをクリックします。

sg_create_rules_01

  1. 詳細画面のルールで「インバウンドルールの作成」をクリックします。

sg_create_rules_02

  1. 次のパラメータを入力し「インバウンドルールの作成」をクリックします。


SG_1 (インバウンドルール)

送信元

IPアドレス(サブネット)

IPアドレス(サブネット)

any (0.0.0.0/0)

タイプ

カスタム

プロトコル

TCP

ポート範囲

80

説明
sg_create_rules_03

※「アウトバウンドルール」を作成する場合は、詳細画面の「アウトバウンドルール」タブをクリックし、その後に詳細画面のルールで「アウトバウンドルールの作成」をクリックします。インバウンドルールの作成と同様に必要なパラメータを入力し「アウトバウンドルールの作成」をクリックします。(SG_1にはアウトバウンドルールの作成は不要です。)

sg_create_rules_01

sg_create_rules_03-02

  1. 続けて同手順で、次のセキュリティグループにインバウンドルール、アウトバウンドルールを作成します。


SG_2

インバウンド ルール1

アウトバウンド ルール1

インバウンド ルール2

アウトバウンド ルール2

送信元／送信先

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ名

SG_3

SG_3

SG_4

SG_4

タイプ

カスタム

カスタム

カスタム

カスタム

プロトコル

ICMP

ICMP

ICMP

ICMP

ポート範囲

0-65535

0-65535

0-65535

0-65535

説明

SG_3

インバウンド ルール1

アウトバウンド ルール1

インバウンド ルール2

アウトバウンド ルール2

送信元／送信先

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ名

SG_2

SG_2

SG_3

SG_3

タイプ

カスタム

カスタム

カスタム

カスタム

プロトコル

ICMP

ICMP

ICMP

ICMP

ポート範囲

0-65535

0-65535

0-65535

0-65535

説明

SG_4

インバウンド ルール1

アウトバウンド ルール1

インバウンド ルール2

アウトバウンド ルール2

送信元／送信先

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ

セキュリティグループ名

SG_2

SG_2

SG_4

SG_4

タイプ

カスタム

カスタム

カスタム

カスタム

プロトコル

ICMP

ICMP

ICMP

ICMP

ポート範囲

0-65535

0-65535

0-65535

0-65535

説明
sg_create_rules_04

4. システムテスト

全ての作業が完了しましたら通信が設定した通りに疎通するか確認をします。

システムテストは下記ページをご参照ください。

セキュリティグループ クイックスタートガイド
システムテスト