# EC2 Instance Connect エンドポイントのセキュリティグループ
<a name="eice-security-groups"></a>

セキュリティグループは、関連付けられたリソースに到達できるトラフィックおよびリソースから発信できるトラフィックを制御します。例えば、Amazon EC2 インスタンスに出入りするトラフィックは、そのインスタンスに関連付けられているセキュリティグループによって特に許可されていない限り、拒否する場合を考えます。

次の例は、EC2 Instance Connect エンドポイントとターゲットインスタンスのセキュリティグループルールを設定する方法を示しています。

**Topics**
+ [EC2 Instance Connect エンドポイント セキュリティグループルール](#eice-security-group-rules)
+ [ターゲットインスタンスセキュリティグループのルール](#resource-security-group-rules)

## EC2 Instance Connect エンドポイント セキュリティグループルール
<a name="eice-security-group-rules"></a>

EC2 Instance Connect エンドポイントのセキュリティグループは、エンドポイントから出る対象のインスタンスに対する、アウトバウンドトラフィックを許可する必要があります。送信先として、インスタンスセキュリティグループ、または VPC の IPv4 または IPv6 アドレス範囲のいずれかを指定できます。

エンドポイントへのトラフィックは EC2 Instance Connect エンドポイントサービスから送信され、エンドポイントセキュリティグループのインバウンドルールに関係なく許可されます。EC2 Instance Connect エンドポイント を使用してインスタンスに接続できるユーザーを制御するには、IAM ポリシーを使用します。詳細については、「[ユーザーに EC2 Instance Connect エンドポイントを使用してインスタンスへ接続するためのアクセス許可](permissions-for-ec2-instance-connect-endpoint.md#iam-OpenTunnel)」を参照してください。

**アウトバウンドルールの例: セキュリティグループ参照**  
次の例では、セキュリティグループ参照を使用しています。つまり、宛先はターゲットインスタンスに関連付けられたセキュリティグループです。このルールにより、エンドポイントからこのセキュリティグループを使用するすべてのインスタンスへのアウトバウンドトラフィックが許可されます。


| プロトコル | 目的地 | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | インスタンスのセキュリティグループの ID | 22 | インスタンスセキュリティグループに関連付けられているすべてのインスタンスへのアウトバウンド SSH トラフィックを許可します。 | 

**アウトバウンドルールの例: IPv4 アドレス範囲**  
次の例では、指定した IPv4 アドレス範囲へのアウトバウンドトラフィックを許可します。インスタンスの IPv4 アドレスはサブネットから割り当てられるため、VPC の IPv4 アドレス範囲を使用できます。


| プロトコル | 目的地 | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | VPC IPv4 CIDR | 22 | VPC へのアウトバウンド SSH トラフィックを許可します | 

**アウトバウンドルールの例: IPv6 アドレス範囲**  
次の例では、指定した IPv6 アドレス範囲へのアウトバウンドトラフィックを許可します。インスタンスの IPv6 アドレスはサブネットから割り当てられるため、VPC の IPv6 アドレス範囲を使用できます。


| プロトコル | 目的地 | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | VPC IPv6 CIDR | 22 | VPC へのアウトバウンド SSH トラフィックを許可します | 

## ターゲットインスタンスセキュリティグループのルール
<a name="resource-security-group-rules"></a>

ターゲットインスタンスのセキュリティグループルールで、EC2 Instance Connect エンドポイントからのインバウンドトラフィックを許可する必要があります。ソースとして、エンドポイントセキュリティグループ、または IPv4 または IPv6 アドレス範囲のいずれかを指定できます。IPv4 アドレス範囲を指定する場合、送信元はクライアント IP の保存がオフかオンかによって異なります。詳細については、「[考慮事項](connect-with-ec2-instance-connect-endpoint.md#ec2-instance-connect-endpoint-prerequisites)」を参照してください。

セキュリティグループはステートフルであるため、インスタンスのセキュリティグループのアウトバウンドルールに関係なく、レスポンストラフィックは VPC から出ることができます。

**インバウンドルールの例: セキュリティグループ参照**  
次の例では、セキュリティグループ参照を使用しています。つまり、ソースはエンドポイントに関連付けられたセキュリティグループです。このルールは、クライアント IP 保護がオンかオフかに関係なく、エンドポイントからこのセキュリティグループを使用するすべてのインスタンスへのインバウンド SSH トラフィックを許可します。SSH 用のインバウンドセキュリティグループルールが他にない場合、インスタンスはエンドポイントからの SSH トラフィックのみを受け入れます。


| プロトコル | ソース | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | エンドポイントセキュリティグループの ID | 22 | エンドポイントセキュリティグループに関連付けられているリソースからのインバウンド SSH トラフィックを許可します | 

**インバウンドルールの例: クライアント IP 保護オフ**  
次の例では、指定した IPv4 アドレス範囲からのインバウンド SSH トラフィックを許可します。クライアント IP 保存が無効であるため、ソース IPv4 アドレスはエンドポイントのネットワークインターフェイスのアドレスになります。エンドポイントのネットワークインターフェイスのアドレスはサブネットから割り当てられるため、VPC の IPv4 アドレス範囲を使用して VPC 内のすべてのインスタンスへの接続を許可できます。


| プロトコル | ソース | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | VPC IPv4 CIDR | 22 | VPC からのインバウンド SSH トラフィックを許可する | 

**インバウンドルールの例: クライアント IP 保護オン**  
次の例では、指定した IPv4 アドレス範囲からのインバウンド SSH トラフィックを許可します。クライアント IP 保存が有効であるため、ソース IPv4 アドレスはクライアントのアドレスになります。


| プロトコル | ソース | ポート範囲 | コメント | 
| --- | --- | --- | --- | 
| TCP | パブリック IPv4 アドレス範囲 | 22 | 指定したクライアント IPv4 アドレス範囲からのインバウンドトラフィックを許可します |