セキュリティグループとは？

セキュリティグループ（Security Group）とは、Amazon Web Services（AWS）においてEC2インスタンスやRDSインスタンス、ロードバランサーなどのリソースに付与する仮想的なファイアウォール機能です。インスタンス単位でどのトラフィックを許可・拒否するかをきめ細かくコントロールできます。

セキュリティグループのルールはステートフルです。これは「インバウンドを許可したトラフィックの応答は、アウトバウンドルールに関係なく自動的に許可される」ことを意味します。ネットワークACL（NACL）がステートレスで双方向にルール設定が必要なのと対照的です。

セキュリティグループを構成する主な要素は次のとおりです。

• インバウンドルール：外部からリソースへの受信を許可するプロトコル・ポート・送信元IP（またはセキュリティグループ）を定義します。
• アウトバウンドルール：リソースから外部への送信を許可する宛先を定義します（デフォルトは全許可）。
• セキュリティグループ参照：送信元・宛先として別のセキュリティグループを指定でき、IPを直接書かずに動的なアクセス制御が可能です。

例えばWebサーバーのセキュリティグループではHTTP/HTTPSをインターネットから許可し、DBサーバーのセキュリティグループではWebサーバーのセキュリティグループからのMySQL接続のみを許可するといった構成が典型的です。ゼロトラストの観点から「最小権限の原則」に基づき、必要最低限のトラフィックだけを許可することがセキュリティ上の重要なベストプラクティスです。