Règles des groupes de sécurité

• Vous pouvez indiquer des règles d'autorisation, mais pas des règles d'interdiction.

• Lorsque vous créez un groupe de sécurité pour la première fois, il n'existe pas de règles entrantes. Par conséquent, aucun trafic entrant n'est autorisé tant que vous n'avez pas ajouté de règles entrantes au groupe de sécurité.

• Lorsque vous créez un groupe de sécurité pour la première fois, il possède une règle sortante qui autorise tout le trafic sortant de la ressource. Vous pouvez retirer la règle et ajouter des règles sortantes qui autorisent un trafic sortant spécifique uniquement. Si votre groupe de sécurité n'a pas de règles sortantes, aucun trafic sortant n'est autorisé.

• Lorsque vous associez plusieurs groupes de sécurité à une ressource, les règles de chaque groupe de sécurité sont regroupées pour former un ensemble unique de règles utilisées pour déterminer s'il faut autoriser l'accès.

• Lorsque vous ajoutez, mettez à jour ou supprimez des règles, vos modifications sont automatiquement appliquées à toutes les ressources associées au groupe de sécurité. Pour obtenir des instructions, veuillez consulter Configurer des règles de groupe de sécurité.

• L’effet de certaines modifications de règle peut dépendre de la manière dont le trafic est suivi. Pour plus d’informations, consultez Suivi de connexion dans le Guide de l’utilisateur Amazon EC2.

• Lorsque vous créez une règle de groupe de sécurité, AWS attribue un ID unique à la règle. Vous pouvez utiliser l’ID d’une règle lorsque vous utilisez l’API ou la CLI pour modifier ou supprimer la règle.

• Protocole : le protocole à autoriser. Les protocoles les plus courants sont 6 (TCP) 17 (UDP) et 1 (ICMP).

• Port range (Plage de ports) : pour TCP, UDP ou un protocole personnalisé : la plage de ports autorisée. Vous pouvez spécifier un seul numéro de port (par exemple, 22), ou une plage de numéros de port (par exemple, 7000-8000).

• ICMP type and code (Type et code ICMP) : pour ICMP, le code et le type ICMP. Par exemple, utilisez le type 8 pour la requête ICMP Echo ou 128 pour la requête ICMPv6 Echo. Pour plus d’informations, consultez la section Rules for ping/ICMP du Guide d’utilisation d’Amazon EC2.

• Source or destination (Source ou destination) : la source (règles entrantes) ou la destination (règles sortantes) pour le trafic à autoriser. Spécifiez l’un des éléments suivants :

  • Adresse IPv4 unique. Vous devez utiliser la longueur de préfixe /32. Par exemple, 203.0.113.1/32.

  • Adresse IPv6 unique. Vous devez utiliser la longueur de préfixe /128. Par exemple, 2001:db8:1234:1a00::123/128.

  • Plage d’adresses IPv4, en notation de bloc d’adresses CIDR. Par exemple, 203.0.113.0/24.

  • Plage d’adresses IPv6, en notation de bloc d’adresses CIDR. Par exemple, 2001:db8:1234:1a00::/64.

  • ID d’une liste des préfixes. Par exemple, pl-1234abc1234abc123. Pour de plus amples informations, consultez Listes de préfixes gérées.

  • ID d'un groupe de sécurité. Par exemple, sg-1234567890abcdef0. Pour de plus amples informations, consultez Référencement des groupes de sécurité.

• (Facultatif) Description : vous pouvez ajouter une description pour la règle, par exemple, pour vous aider à l’identifier ultérieurement. Une description peut inclure jusqu’à 255 caractères. Les caractères autorisés sont : a-z, A-Z, 0-9, espaces et ._-:/()#,@[]+=;{}!$*.

Lorsque vous référencez un groupe de sécurité dans une règle de groupe de sécurité, tenez compte des points suivants :

• Vous pouvez faire référence à un groupe de sécurité dans la règle entrante d’un autre groupe de sécurité si l’une des conditions suivantes est vraie :

  • Les groupes de sécurité sont associés au même VPC.

  • Il existe une connexion d’appairage entre les VPC auxquels les groupes de sécurité sont associés.

  • Il existe une passerelle de transit entre les VPC auxquels les groupes de sécurité sont associés.

• Vous pouvez faire référence à un groupe de sécurité dans la règle sortante si l’une des conditions suivantes est vraie :

  • Les groupes de sécurité sont associés au même VPC.

  • Il existe une connexion d’appairage entre les VPC auxquels les groupes de sécurité sont associés.

• Aucune règle du groupe de sécurité référencé n'est ajoutée au groupe de sécurité le référençant.

• Concernant les règles entrantes, les instances EC2 associées à un groupe de sécurité peuvent recevoir le trafic entrant des adresses IP privées issues des interfaces réseau dans le cadre des instances EC2 associées au groupe de sécurité référencé.

• Concernant les règles sortantes, les instances EC2 associées à un groupe de sécurité peuvent envoyer le trafic sortant aux adresses IP privées issues des interfaces réseau dans le cadre des instances EC2 associées au groupe de sécurité référencé.

• Nous ne fournissons pas d’autorisation par rapport aux groupes de sécurité référencés dans le cadre des actions suivantes : AuthorizeSecurityGroupIngress, AuthorizeSecurityGroupEgress, RevokeSecurityGroupIngress, et RevokeSecurityGroupEgress. Nous vérifions uniquement si le groupe de sécurité existe. Il en résulte ce qui suit :

  • La spécification du groupe de sécurité référencé dans les politiques IAM pour ces actions n’a aucun effet.

  • Lorsqu’un groupe de sécurité référencé est détenu par un autre compte, le compte propriétaire ne reçoit pas d’événements CloudTrail pour ces actions.

• Ajoutez des règles au groupe de sécurité de l'équilibreur de charge pour autoriser le trafic HTTP et HTTPS en provenance d'Internet. La source est 0.0.0.0/0.

• Ajoutez des règles au groupe de sécurité pour les serveurs Web afin d'autoriser le trafic HTTP et HTTPS uniquement en provenance de l'équilibreur de charge. La source est le groupe de sécurité pour l'équilibreur de charge.

• Ajoutez des règles au groupe de sécurité pour les serveurs de base de données afin d'autoriser les demandes de base de données provenant des serveurs Web. La source est le groupe de sécurité pour les serveurs Web.

• Une règle référençant un bloc CIDR compte comme une seule règle.

• Une règle référençant un autre groupe de sécurité compte comme une seule règle, quelle que soit la taille du groupe de sécurité référencé.

• Une règle référençant une liste de préfixes gérée par le client compte comme la taille maximale de la liste de préfixes. Par exemple, si la taille maximale de votre liste de préfixes est égale à 20, une règle la référençant compte comme 20 règles.

• Une règle référençant une liste de préfixes gérée par AWS compte comme le poids de la liste de préfixes. Par exemple, si le poids de la liste de préfixes est égale à 10, une règle la référençant compte comme 10 règles. Pour de plus amples informations, consultez Listes de préfixes gérées par AWS disponibles.