【入門編】セキュリティグループ（SG）のステートフル動作とインスタンスレベルの保護 – クラウド＆コンテナネットワーク実践ガイド

クラウドの「門番」を攻略せよ！セキュリティグループの「ステートフル」な魔法を解き明かす

こんにちは！クラウドの世界へようこそ。インフラエンジニアとして日々AWSやGCPと向き合っていると、避けては通れないのが「ネットワーク」という広大な迷宮です。

特に、クラウド初心者が最初にぶつかる壁が「セキュリティグループ（SG）」。
「ルールを一つ書いただけなのに、なぜか通信が双方向で成立するの？」
「戻りのパケットを許可するルールを書かなくていいのはなぜ？」

そんな疑問を抱いたことはありませんか？今回は、この「不思議な魔法」の正体である「ステートフル（Stateful）」という仕組みについて、身近な例えを交えながら紐解いていきましょう。

—

1. セキュリティグループは「気配りができる門番」

クラウド上の仮想サーバー（EC2など）は、ネットワークの海に浮かぶ孤島のようなものです。その島に渡る橋の入り口に立っているのが「セキュリティグループ」という門番です。

この門番の最大の特徴は、「一度通した相手は、帰ってくるまでしっかり記憶している」という点です。これが専門用語でいう「ステートフル」です。

郵便配達で例えてみましょう

あなたが海外の友人に手紙を出そうとポストに投函するとします。

1. 行き（要求）: あなたはポストに手紙を入れます。門番（SG）は「この手紙の宛先は安全かな？」とチェックし、OKなら外の世界へ送り出します。
2. 帰り（応答）: 数日後、友人から返事が届きます。ここで門番はこう考えます。「あ、これはさっき私が送り出した手紙に対する『返事』だな。中身を開封しなくても、このやり取りは進行中だから許可しよう！」

これがステートフルな動作です。あなたが「返事を受け取るためのルール」をわざわざ書かなくても、門番が「さっき出した手紙の続きだよね？」と気を利かせて通してくれるのです。

—

2. なぜ「ステートフル」が革命的なのか？

対照的な概念に「ステートレス（Stateless）」というものがあります（AWSなら「ネットワークACL」がこれに当たります）。

ステートレスな門番は、記憶力がありません。
「行き」の許可ルールだけ書いても、「帰り」のルールを別に書かないと、返事のパケットが島に帰ってきた瞬間に「お前は誰だ！許可ルールがない！」と門前払いされてしまいます。

一方、セキュリティグループのようなステートフルな門番は、「行き」のルールさえ設定しておけば、自動的に「帰り」も許可されるため、設定ミスが劇的に減り、運用負荷も軽くなるのです。

—

3. 実践！AWS CLIで「門番」を構成してみよう

では、実際にAWS環境でWebサーバーを構築する際のセキュリティグループ設定を見てみましょう。今回は「80番ポート（HTTP通信）を許可する」というシンプルな設定です。

# 1. セキュリティグループを作成
aws ec2 create-security-group \
    --group-name "web-server-sg" \
    --description "Webサーバー用のセキュリティグループ"

# 2. インバウンドルールを追加（80番ポートへのアクセスを許可）
# ここで設定するのは「外から入ってくる通信」のみ。
# 戻りの通信ルールを書く必要は一切ありません！
aws ec2 authorize-security-group-ingress \
    --group-id sg-0123456789abcdef \
    --protocol tcp \
    --port 80 \
    --cidr 0.0.0.0/0  # 全世界からのアクセスを許可

このコマンド一つで、Webサーバーは「リクエストを受け取って、その結果を返す」という一連の動作を完璧にこなせるようになります。

—

4. 知っておくべき「鉄の掟」

セキュリティグループを扱う上で、これだけは覚えて帰ってください。

デフォルト拒否（Deny All）の原則:

セキュリティグループは「明示的に許可した通信」以外はすべて遮断します。無駄な穴を開けないことが、クラウドセキュリティの第一歩です。

インスタンス単位の保護:

ネットワークACL（サブネット単位）が「村の入り口の検問所」だとしたら、セキュリティグループは「個人の家の玄関の鍵」です。よりきめ細やかな制御が可能です。

評価順序はない:

「どのルールが先に適用されるか」を気にする必要はありません。すべてのルールが同時に評価され、一つでも許可（Allow）があれば通信は成立します。

—

まとめ：クラウドは「スマートな相棒」

セキュリティグループのステートフルな挙動は、まさに優秀な秘書のようなものです。「あなたが一度始めた仕事なら、後始末まで全部把握しておきますよ」と言ってくれているのです。

初学者のうちは、パケットの細かいヘッダー情報やフラグの制御に迷うこともあるかもしれません。でも大丈夫。まずは「この門番は賢いから、行きさえ許可すれば帰りは大丈夫」という感覚を掴んでください。

皆さんのインフラ構築ライフが、より安全で、そして少しだけ「楽」になることを願っています。次は、この門番をどう組み合わせて「多層防御」を作るか、一緒に深掘りしていきましょう！