インスタンスのアクセスとセキュリティーの設定¶

キーペアの追加¶

キーペアの生成や既存の公開鍵のアップロードが可能です。

1. キーペアを生成するために、以下のコマンドを実行します。

   $ openstack keypair create KEY_NAME > MY_KEY.pem
   

   このコマンドは、指定した KEY_NAME という名前のキーペアを生成し、秘密鍵を .pem ファイルに書き込み、公開鍵を Nova データベースに登録します。

2. あなただけが読み書きできるよう、 .pem ファイルのパーミッションを設定するために、以下のコマンドを実行します。

   $ chmod 600 MY_KEY.pem
   

キーペアのインポート¶

1. すでにキーペアを生成し、公開鍵が ~/.ssh/id_rsa.pub にある場合、以下のコマンドでこの公開鍵をアップロードします。

   $ openstack keypair create --public-key ~/.ssh/id_rsa.pub KEY_NAME
   

   このコマンドは、Nova データベースに公開鍵を登録して、キーペアの名前を指定した KEY_NAME にします。

2. キーペアが正常にインポートされたことを確認するために、以下のとおりキーペアを一覧表示します。

   $ openstack keypair list
   

セキュリティーグループの作成と管理¶

1. 現在のプロジェクトのセキュリティーグループと説明を一覧表示するために、以下のコマンドを入力します。

   $ openstack security group list
   

2. 指定された名前と説明を持つセキュリティーグループを作成するために、以下のコマンドを入力します。

   $ openstack security group create SECURITY_GROUP_NAME --description GROUP_DESCRIPTION
   

3. 指定されたグループを削除するために、以下のコマンドを入力します。

   $ openstack security group delete SECURITY_GROUP_NAME
   

セキュリティーグループのルールの作成と管理¶

openstack security group rule コマンドを用いてセキュリティーグループのルールを編集します。開始する前に、OpenStack RC ファイルを読み込みます。詳細は OpenStack RC ファイルを用いた環境変数の設定 を参照してください。

1. セキュリティーグループのルールを一覧表示するために、以下のコマンドを実行します。

   $ openstack security group rule list SECURITY_GROUP_NAME
   

2. インスタンスへの SSH 接続を許可するために、以下のオプションのどれかを選択します。

   • CIDR 表記で IP サブネット 0.0.0.0/0 として指定して、すべての IP アドレスからのアクセスを許可します。

     $ openstack security group rule create SECURITY_GROUP_NAME \
           --protocol tcp --dst-port 22:22 --remote-ip 0.0.0.0/0
     

   • 他のセキュリティーグループからの IP アドレス (ソースグループ) のみが指定したポートにアクセスできるようにします。

     $ openstack security group rule create SECURITY_GROUP_NAME \
           --protocol tcp --dst-port 22:22 --remote-group SOURCE_GROUP_NAME
     

3. インスタンスへの ping アクセスを許可するには、以下のオプションのどれかを選択します。

   • CIDR 表記で IP サブネット 0.0.0.0/0 として指定して、すべての IP アドレスからの ping を許可します。

     $ openstack security group rule create --protocol icmp \
       SECURITY_GROUP_NAME
     

     これにより、すべてのコードとすべての種類の ICMP 通信が許可されます。

   • 他のセキュリティーグループ (ソースグループ) のメンバーのみがインスタンスに ping できるようにします。

     $ openstack security group rule create --protocol icmp \
       --remote-group SOURCE_GROUP_NAME SECURITY_GROUP
     

4. 仮想マシンで実行する DNS サーバーにアクセスするなど、UDP ポート経由でのアクセスを許可するには、以下のオプションの 1 つを選択します。

   • CIDR 表記で IP サブネット 0.0.0.0/0 として指定して、すべての IP アドレスからの UDP アクセスを許可します。

     $ openstack security group rule create --protocol udp \
       --dst-port 53:53 SECURITY_GROUP
     

   • 他のセキュリティーグループからの IP アドレス (ソースグループ) のみが指定したポートにアクセスできるようにします。

     $ openstack security group rule create --protocol udp \
       --dst-port 53:53 --remote-group SOURCE_GROUP_NAME SECURITY_GROUP
     

セキュリティーグループのルールの削除¶

セキュリティーグループのルールを削除するには、ルールの ID を指定します。

$ openstack security group rule delete RULE_ID