AWSで失敗しないセキュリティグループ設定と活用法まとめ

2025 10/30

2025/10/30

はじめに

この章では、本記事の狙いと読む際のポイントをやさしく説明します。AWSのセキュリティグループを初めて扱う方でも、全体像をつかめるように構成しています。

セキュリティグループは、クラウド上のサーバーに対する『出入り口のルール』です。家の玄関の鍵のように、どの通信を許可するかを決めます。正しく設定すれば不要な接続を防げますし、誤ると外部からのアクセスを受けやすくなります。

例は分かりやすくしていますが、そのまま本番環境で適用せず、まずはテスト環境で動作を確認してください。続きを順に読むと理解が深まります。

AWSのセキュリティグループは、VPC内のリソースに適用する“仮想ファイアウォール”です。EC2やデータベースなどに設定して、受け取る通信（インバウンド）と送る通信（アウトバウンド）を制御します。例えば、WebサーバーはHTTPだけ許可し、それ以外は遮断できます。

新しいセキュリティグループはインバウンドを全て拒否、アウトバウンドは全て許可する設定が多いです。用途に合わせてルールを追加していきます。

細かく通信を制御できるため、不必要なアクセスを減らし攻撃面を狭められます。設定はGUIとコード（IaC）どちらからも行えます。

AWS マネジメントコンソールにログインし、EC2 ダッシュボードを開きます。
左メニューで「セキュリティグループ」を選び、「セキュリティグループの作成」をクリックします。
名前と説明を入力し、所属する VPC を選びます（例: my-web-sg）。
インバウンドとアウトバウンドのルールを追加します。種類（例: SSH、HTTP）、プロトコル、ポートレンジ、送信元/送信先（IP または別のセキュリティグループ）を指定します。
作成を押すと、設定は即時に適用されます。

aws ec2 authorize-security-group-ingress –group-id sg-01234567 –protocol tcp –port 22 –cidr 203.0.113.5/32

ルールは通信の向きを指定します。インバウンドは外からインスタンスへ入るトラフィック、アウトバウンドはインスタンスから外へ出るトラフィックです。例：SSHは通常インバウンドでTCP 22を許可します。

TCP、UDP、ICMPなどを指定します。TCPはWebやSSH、UDPはDNSや一部のアプリ、ICMPはpingなどに使います。プロトコルを正しく選ぶと不要な通信を防げます。

特定のポート（例：80、443、22）やポート範囲（例：1024-65535）を指定します。サービス単位で最小限のポートだけ開けると安全です。ポート範囲は効率的ですが幅を広げすぎないでください。

相手は単一IP（例：203.0.113.5/32）、CIDRブロック（例：203.0.113.0/24）、プレフィックスリスト、または別のセキュリティグループIDで指定します。他のセキュリティグループを指定すると、VPC内のリソース間で簡潔にルールを管理できます。

セキュリティグループは「許可」ルールのみで、明示的な拒否はできません。さらにステートフルなので、許可した通信の応答は自動で戻ります。設定は最小権限を心がけ、必要な相手・ポートだけを許可してください。

IP 制限でアクセスを絞る：社内からの接続だけ許可する場合は、社内ネットワークのIPレンジを指定します。例：開発用サーバーは会社の固定IPのみ許可する。
ポートごとの制御：SSH(ポート22)やHTTP(80)/HTTPS(443)など、必要なポートだけ開けます。例：データベースは内部からの3306のみ許可する。