Sicherheitsgruppen und Regeln erstellen und bearbeiten
Sicherheitsgruppe mit ersten Regeln erstellen, Regeln hinzufügen, bearbeiten und entfernen sowie Gruppen in der Konsole umbenennen, duplizieren oder löschen.
Erstellen Sie Sicherheitsgruppen, halten Sie ihre Regeln aktuell, und entfernen Sie die Gruppen, die Sie nicht mehr benötigen. Wie Regeln funktionieren, erfahren Sie unter Sicherheitsgruppenregeln.
Voraussetzungen
- Sie benötigen auf Abonnement- oder Projektebene die Rolle Besitzer oder Mitwirkender oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Networking.
- Das Kontingent des Abonnements und die Zuteilung des Projekts müssen Platz für die neue Sicherheitsgruppe und ihre Regeln bieten. Siehe Kontingente.
Sicherheitsgruppe erstellen
Wechseln Sie in der Konsole zu NetzwerkSicherheitsgruppen.
Wählen Sie Sicherheitsgruppe erstellen aus.
Geben Sie im Feld Name einen Namen ein, z. B. web-sg, und optional im Feld Beschreibung eine Beschreibung.
Wählen Sie unter Anfängliche Regeln eine Voreinstellung unter Gängige Dienste oder Regel hinzufügen aus. Jede Auswahl fügt eine Zeile hinzu.
Wählen Sie in jeder Zeile die Richtung, das Protokoll und die Ports aus, und geben Sie den Quellblock ein, oder wählen Sie Meine IP aus. Um eine Zeile zu entfernen, wählen Sie ihre Schaltfläche zum Entfernen aus.
Wählen Sie Sicherheitsgruppe erstellen aus. Die Konsole wartet, bis die Gruppe existiert, und kehrt zur Liste zurück.
Die Gruppe erhält außerdem die zwei standardmäßigen Egress-Regeln, die den gesamten ausgehenden Datenverkehr erlauben. Regeln, die Sie in diesem Formular hinzufügen, erhalten die Beschreibung custom rule, und ihre Quelle ist ein Adressblock. Um Regeln mit eigener Beschreibung oder mit einer Sicherheitsgruppe als Quelle hinzuzufügen, fügen Sie sie anschließend auf der Seite der Gruppe hinzu.
Regeln zu einer Gruppe hinzufügen
Wechseln Sie in der Konsole zu NetzwerkSicherheitsgruppen, und öffnen Sie die Gruppe.
Wählen Sie Regel hinzufügen aus. Der Dialog Sicherheitsgruppenregeln hinzufügen wird mit einer Zeile geöffnet. Wenn Sie ihn von der Registerkarte Egress-Regeln aus öffnen, ist die Zeile eine Egress-Regel.
Wählen Sie in jeder Zeile die Richtung, den Ethertyp, das Protokoll und die Ports aus. Wählen Sie CIDR aus, und geben Sie einen Adressblock ein, oder wählen Sie Sicherheitsgruppe und dann eine Gruppe aus. Geben Sie optional eine Beschreibung ein.
Um im selben Durchgang weitere Regeln hinzuzufügen, wählen Sie eine Voreinstellung oder Regel hinzufügen aus.
Wählen Sie die Schaltfläche aus, die die Regeln hinzufügt, z. B. 2 Regeln hinzufügen.
Die Konsole fügt die Regeln nacheinander hinzu. Eine Regel ohne Beschreibung erhält eine aus ihrem Protokoll und ihren Ports, z. B. TCP 22. Wenn die Cloud einige Regeln ablehnt, bleiben die hinzugefügten Regeln bestehen, und der Dialog behält nur die abgelehnten Zeilen, jeweils mit ihrem Grund, damit Sie sie korrigieren und erneut hinzufügen können.
Regel bearbeiten
Zeigen Sie auf der Registerkarte Ingress-Regeln oder Egress-Regeln der Gruppe auf die Regel, und wählen Sie das Stiftsymbol aus. Der Dialog Regel bearbeiten wird geöffnet.
Ändern Sie die Teile der Regel.
Wählen Sie Regel speichern aus. Die Konsole zeigt Regel aktualisiert an.
Die Cloud ändert Regeln nicht direkt. Beim Speichern wird die Regel ersetzt:
- Wenn Sie die Ports, das Protokoll, die Richtung oder die Quelle ändern, wird zuerst die bearbeitete Regel hinzugefügt und erst danach die alte Regel entfernt. Datenverkehr, den beide Regeln erlauben, fließt während der Bearbeitung weiter. Datenverkehr, den nur die alte Regel erlaubt hat, endet, wenn die alte Regel entfernt wird.
- Wenn Sie nur die Beschreibung ändern, wird die Regel neu angelegt. Datenverkehr, den sie erlaubt, kann dabei kurz unterbrochen werden.
Wenn die Bearbeitung nicht gespeichert werden kann, bleibt die alte Regel unverändert, und der Dialog zeigt den Grund an.
Regeln entfernen
So entfernen Sie eine Regel:
Zeigen Sie auf der Registerkarte Ingress-Regeln oder Egress-Regeln der Gruppe auf die Regel, und wählen Sie das Papierkorbsymbol aus.
Wählen Sie Regel entfernen aus.
So entfernen Sie mehrere Regeln einer Richtung:
Aktivieren Sie auf der Registerkarte Ingress-Regeln oder Egress-Regeln die Kontrollkästchen der Regeln.
Wählen Sie die Löschschaltfläche über der Tabelle aus, z. B. 2 Regeln löschen.
Wählen Sie Regeln entfernen aus.
Die Bestätigung warnt Sie: Datenverkehr, der dieser Regel entspricht, wird nicht mehr zugelassen. Dies kann nicht rückgängig gemacht werden.
Gruppe umbenennen
Wählen Sie auf der Seite der Gruppe Bearbeiten aus.
Ändern Sie den Namen.
Wählen Sie Änderungen speichern aus.
Die Beschreibung können Sie in der Konsole nicht ändern.
Gruppe duplizieren
Öffnen Sie in der Liste der Sicherheitsgruppen die Aktionen in der Zeile der Gruppe, und wählen Sie Duplizieren aus. Die Konsole erstellt eine Gruppe mit dem Namen des Originals und der Endung -copy, mit derselben Beschreibung, und fügt ihr die Regeln des Originals hinzu.
- Die Kopie erhält ihre eigenen zwei standardmäßigen Egress-Regeln. Die standardmäßigen Egress-Regeln des Originals werden nicht kopiert, und die Kopie hat sie auch dann, wenn Sie sie aus dem Original entfernt haben.
- Eine Regel, deren Quelle eine Sicherheitsgruppe ist, verweist weiterhin auf dieselbe Gruppe, auch eine Regel, die auf die Originalgruppe selbst verweist.
- Wenn bereits eine Gruppe mit dem Namen der Kopie existiert, schlägt das Duplizieren fehl.
Gruppe löschen
Nicht löschen können Sie:
- die Gruppe
defaultdes Projekts. Bei ihr ist die Schaltfläche Löschen deaktiviert und zeigt den Hinweis Die Standard-Sicherheitsgruppe kann nicht gelöscht werden. - eine Gruppe, die ein Port verwendet. Die Registerkarte Zugeordnete Ressourcen der Gruppe listet die Instanzen und Ports auf, die sie verwenden. Trennen Sie die Gruppe zuerst von ihnen. Siehe Sicherheitsgruppe von einer Instanz trennen und, für einen Port, Port bearbeiten.
Wählen Sie auf der Seite der Gruppe Löschen aus.
Wählen Sie Gruppe löschen aus.
Um mehrere Gruppen zu löschen, aktivieren Sie ihre Kontrollkästchen in der Liste, wählen Sie Löschen aus, und bestätigen Sie. Wenn die Auswahl default enthält, überspringt die Konsole diese Gruppe.
Problembehandlung
| Meldung | Ursache | Lösung |
|---|---|---|
| Mindestens eine Regel hat einen ungültigen Port. Verwenden Sie 1–65535; in einem Bereich darf der erste Port nicht größer als der zweite sein. | Eine Zeile hat einen ungültigen Port, oder eine Zeile hat keine gültige Quelle. | Geben Sie Ports von 1 bis 65535 ein, in einem Bereich den kleineren Port zuerst, und in jeder Zeile eine Quelle. |
| Geben Sie eine gültige IP-Adresse oder einen CIDR-Block ein, z. B. 10.0.0.0/24. | Die Quelle ist weder eine Adresse noch ein Block. | Geben Sie eine Adresse oder einen Block ein, z. B. 203.0.113.0/24. |
| Eine Meldung, dass bereits eine Sicherheitsgruppe mit diesem Namen existiert | Der Name ist im Projekt bereits vergeben. | Geben Sie einen anderen Namen ein. |
| Eine Meldung, dass an die Sicherheitsgruppe noch Ports angehängt sind | Ein Port verwendet die Gruppe. | Trennen Sie die Gruppe von den Instanzen und Ports, die ihre Registerkarte Zugeordnete Ressourcen auflistet, und löschen Sie erneut. |
| 2 Regeln hinzugefügt, 1 fehlgeschlagen — Gründe siehe unten | Die Cloud hat einige der neuen Regeln abgelehnt. | Lesen Sie den Grund in jeder verbleibenden Zeile, beheben Sie das Problem, und fügen Sie die Zeilen erneut hinzu. |