ネットワークアクセスに関するセキュリティ上の考慮事項

フォーカスモード

ネットワークアクセスに関するセキュリティ上の考慮事項 - Amazon Elastic File System

ファイルシステムのマウントターゲットの NFS ポート (TCP ポート 2049) の 1 つに接続できる場合にのみ、NFS バージョン 4.1 (NFSv4.1) クライアントはファイルシステムをマウントできます。同様に、このネットワーク接続ができる場合にのみ、NFSv 4.1 クライアントはファイルシステムにアクセスするときにユーザーおよびグループ ID をアサートできます。

このネットワーク接続を行うことができるかどうかは、以下の組み合わせによって管理されます。

マウントターゲットの VPC によって提供されるネットワーク分離 – ファイルシステムのマウントターゲットにはパブリック IP アドレスを関連付けることはできません。ファイルシステムをマウントできる唯一のターゲットは次のとおりです。
- ローカル Amazon VPC 内の Amazon EC2 インスタンス
- 接続された VPC の EC2 インスタンス
- AWS Direct Connect と AWS Virtual Private Network (VPN) を使用して Amazon VPC に接続されたオンプレミスサーバー
マウントターゲットのサブネット外からアクセスするための、クライアントおよびマウントターゲットの VPC サブネットのネットワークアクセスコントロールリスト (ACL) – ファイルシステムをマウントするには、クライアントはマウントターゲットの NFS ポートへの TCP 接続を確立できる必要があります。また、リターントラフィックを受信する必要があります。
すべてのアクセス用のクライアントおよびマウントターゲットの VPC セキュリティグループのルールファイルシステムをマウントする EC2 インスタンスの場合、次のセキュリティグループルールが有効である必要があります。
- ファイルシステムには、インスタンスからの NFS ポートでインバウンド接続を有効にするルールを持つセキュリティグループがネットワークインターフェイスにあるマウントターゲットが必要です。IP アドレス (CIDR 範囲) またはセキュリティグループのいずれかを使用してインバウンド接続を有効化できます。マウントターゲットネットワークインターフェイス上のインバウンド NFS ポートセキュリティグループルールのソースは、ファイルシステムのアクセスコントロールの重要な要素です。NFS ポート以外のインバウンドルール、およびどのようなアウトバウンドルールも、ファイルシステムのマウントターゲットネットワークインターフェイスには使用されません。
- インスタンスのマウントには、ファイルシステムのマウントターゲットのいずれかの NFS ポートへのアウトバウンド接続を有効にするセキュリティグループルールがあるネットワークインターフェイスが必要です。IP アドレス (CIDR 範囲) またはセキュリティグループのいずれかを使用してアウトバウンド接続を有効化できます。