Database > RDS for PostgreSQL > DBセキュリティグループ

DBセキュリティグループ

DBセキュリティグループはDBインスタンスの送受信トラフィックを制御してDBインスタンスを保護する目的で使用します。ルールで指定したトラフィックは許可し、残りのトラフィックはブロックする「ポジティブセキュリティモデル(positive security model)」を使用します。DBインスタンスにDBセキュリティグループを接続しない場合、すべての送受信トラフィックが許可されません。 DBセキュリティグループを作成しても、DBインスタンスに適用しなければ、DBセキュリティグループのルールが適用されません。 DBインスタンスに多数のDBセキュリティグループを適用できます。DBセキュリティグループの主な特徴は次の通りです。

  • DBセキュリティグループは'stateful'で動作するため、DBセキュリティルールで一度接続されたセッションは、反対方向のルールがなくても許可されます。
  • 例えば、DBインスタンスに向かうTCP 5432の最初のパケットが'受信TCP PORT 5432'ルールに従って通過した場合、DBインスタンスでTCP 5432ポートを出発地として送信されるパケットはブロックされません。
  • ただし、一定時間ルールに合致するパケットが届かず、セッションが期限切れになると、反対方向のパケットもブロックされます。
  • DBセキュリティルールは、一つずつ追加するよりも範囲を指定する方が効率面で有利です。DBセキュリティルールが増加すると、性能低下が発生する可能性があります。
  • セッションの状態が合わないトラフィックはブロックされることがあります。

DBセキュリティグループは、名前と説明、多数のDBセキュリティルールで構成され、DBセキュリティグループの名前は下記のような制約があります。

  • DBセキュリティグループ名は、リージョンごとに一意でなければなりません。
  • DBセキュリティグループ名は、1～100文字まで、アルファベット、数字、一部の記号(-, _, .)のみ使用でき、最初の文字は英字のみ使用できます。

DBセキュリティグループの適用

DBインスタンスを作成する時、適用するDBセキュリティグループを選択できます。DBインスタンスに複数のDBセキュリティグループを適用できます。適用された全てのDBセキュリティグループのルールがDBインスタンスに適用されます。適用されたDBインスタンスは、DBインスタンス修正画面で自由に変更できます。

DBセキュリティルール

一つのDBセキュリティグループに多数のDBセキュリティルールを作成できます。DBインスタンスにDBセキュリティグループを設定すると、そのDBセキュリティグループに作成されたすべてのDBセキュリティルールが適用されます。

項目 説明
方向 受信はDBインスタンスに流入する方向を意味します。送信は、DBインスタンスから出る方向を意味します。
Ether Type EtherType IPのバージョンを意味します。IPv4、IPv6を指定できます。
ポート ルールを適用するポートを設定します。単一ポートまたはポート範囲で入力することができ、DBポートを選択できます。DBポートを選択すると、DBインスタンスのDBポートが自動的に入力されます。
遠隔 IPアドレスの範囲を指定できます。ルールの方向が「送信」であれば目的地が遠隔、「受信」であれば出発地が遠隔です。ルールの方向によって、トラフィックの出発地と目的地が設定されたIPアドレスまたは範囲かどうかを比較します。
説明 DBセキュリティグループルールの説明を追加できます。

DBセキュリティルールの変更

DBセキュリティルールの作成、修正、削除などの変更が発生すると、変更内容がDBセキュリティグループと連結されたDBインスタンスに順次適用されます。DBセキュリティグループに連結されたすべてのDBインスタンスに適用されるまで、DBセキュリティグループに新たにDBセキュリティルールを追加したり、他のDBセキュリティルールを修正、削除することはできません。

目次
TOP