6.3. 项目安全管理

安全组是可分配给项目实例的 IP 过滤器规则集合，用于定义对实例的网络访问。安全组特定于项目；项目成员可以编辑其安全组的默认规则，并添加新规则集。

所有项目都有一个默认安全组，应用到没有其他定义的安全组的任何实例。除非更改默认值，否则此安全组会拒绝所有传入的流量，并且只允许来自您的实例的传出流量。

您可以在实例创建过程中直接将安全组应用到实例，或应用到正在运行的实例上的端口。

注意

您不能在实例创建过程中将基于角色的访问控制(RBAC)共享安全组直接应用到实例。要将 RBAC 共享安全组应用到实例，必须首先创建端口，将共享安全组应用到该端口，然后将该端口分配给实例。请参阅 将安全组添加到端口。

在不创建允许所需出口的组的情况下，不要删除默认安全组。例如，如果您的实例使用 DHCP 和元数据，您的实例需要安全组规则来允许到 DHCP 服务器和元数据代理的出口。

6.3.1. 创建安全组

  1. 在仪表板中，选择 Project > Compute > Access & Security。
  2. 在 Security Groups 选项卡中，单击 Create Security Group。
  3. 输入组的名称和描述，然后单击 Create Security Group。

6.3.2. 添加安全组规则

默认情况下，新组的规则仅提供传出访问。您必须添加新规则来提供其他访问权限。

  1. 在仪表板中，选择 Project > Compute > Access & Security。
  2. 在 Security Groups 选项卡中，点您要编辑的安全组的管理规则。
  3. 单击 Add Rule 以添加新规则。

  4. 指定规则值，然后单击 Add。

    以下规则字段是必需的：

    规则

    规则类型。如果您指定一个规则模板（例如，SSH），其字段会自动填写：

    • TCP：用来在系统之间交换数据，以及用于最终用户通信。
    • UDP：用来在系统间交换数据，特别是在应用程序级别。
    • ICMP：由网络设备（如路由器）使用来发送错误或监控消息。
    方向
    Ingress （入站）或 Egress （出站）。
    打开端口

    对于 TCP 或 UDP 规则，打开 Port 或 Port Range（单个端口或端口范围）：

    • 对于端口范围，在 From Port 和 To Port 字段中输入 port 值。
    • 对于单个端口，在 Port 字段中输入 port 值。
    类型
    ICMP 规则的类型；必须在 -1:255 之间。
    代码
    ICMP 规则的代码；必须在 -1:255 之间。
    远程

    此规则的流量源：

    • CIDR (Classless Inter-Domain Routing)：IP 地址块，限制对块内 IP 的访问。在 Source 字段中输入 CIDR。
    • 安全组：源组，使组中的任何实例能够访问任何其他组实例。

6.3.3. 删除安全组规则

  1. 在仪表板中，选择 Project > Compute > Access & Security。
  2. 在 Security Groups 选项卡上，点安全组的管理规则。
  3. 选择安全组规则，然后点删除规则。
  4. 再次点 Delete Rule。
注意

您无法撤销 delete 操作。

6.3.4. 删除安全组

  1. 在仪表板中，选择 Project > Compute > Access & Security。
  2. 在 Security Groups 选项卡中，选择组，然后单击 Delete Security Groups。
  3. 单击 Delete Security Groups。
注意

您无法撤销 delete 操作。