質問: AWSのセキュリティグループにセキュリティグループを関連付けることができるのですが、 この場合どういう動作になるかご存知の方がいらっしゃいましたらご教授お願いできますでしょうか。 よろしくお願いします。
回答: セキュリティグループでは、接続元をネットワークアドレスで許可することができますが、その替わりに他のセキュリティグループで許可することもできます。 例えば、ELB、Webサーバー、DBサーバーのような階層があったとして、それぞれ、カッコ内のセキュリティグループで起動するものとします。 ``` ELBインスタンス x N (ELB_Group) ↓ Webサーバーインスタンス x N (Web_Group) ↓ RDSインスタンス (DB_Group) ``` Webサーバーインスタンスから RDSインスタンスへのアクセスを許可する場合、セキュリティグループ:DB_Group に、送信元を Web_Group とするインバウンドルールを設定します。 送信元をネットワークアドレスで許可するよりも、より正確なアクセス制御ができます。 同様に、ELBインスタンスから Webサーバーインスタンスへのアクセスを許可する場合、セキュリティグループ:Web_Group に、送信元を ELB_Group とするインバウンドルールを設定します。 なお、VPC が出来る前(Classic EC2)は、サブネットを利用できなかったため、送信元をセキュリティグループとしてアクセス制御する仕組みが必要でした。 という表面上の動作ではなく、内部的な動作の質問でしょうか?