Grup Keamanan dan Pasangan Kunci

Grup keamanan adalah firewall virtual berstatus yang mengontrol lalu lintas masuk dan keluar dari serta menuju instans EC2 (atau sumber daya AWS lainnya seperti RDS, Lambda, ELB). Grup keamanan beroperasi pada tingkat instans—setiap aturan menentukan protokol (TCP/UDP/ICMP), rentang port, serta sumber/tujuan (rentang IP atau grup keamanan lain). Tidak seperti firewall tradisional, grup keamanan bersifat berstatus: jika Anda mengizinkan lalu lintas masuk, lalu lintas respons secara otomatis diizinkan keluar tanpa aturan eksplisit.

Grup keamanan memiliki kumpulan aturan masuk dan keluar yang terpisah. Aturan masuk mengontrol lalu lintas yang tiba di instans—secara default, semua lalu lintas masuk ditolak. Aturan keluar mengontrol lalu lintas yang meninggalkan instans—secara default, semua lalu lintas keluar diizinkan. Anda menambahkan aturan Allow secara eksplisit; tidak ada aturan Deny eksplisit dalam grup keamanan (gunakan Network ACL untuk penolakan eksplisit). Semua aturan dalam grup keamanan dievaluasi bersama menggunakan OR logis—aturan Allow mana pun yang cocok akan mengizinkan lalu lintas.

Grup keamanan mendukung referensi grup keamanan sumber/tujuan, yang lebih fleksibel dan aman daripada menentukan rentang IP. Contohnya, grup keamanan ALB mengizinkan 0.0.0.0/0 pada port 443. Grup keamanan instans EC2 hanya mengizinkan port masuk 8080 dari ID grup keamanan ALB—bukan dari IP mana pun. Jika ALB diganti atau skalanya berubah, aturan tersebut tetap berlaku dengan benar tanpa perubahan IP. Pola ini membentuk pertahanan berlapis dan dinamis untuk arsitektur bertingkat.

Stateful berarti grup keamanan melacak status koneksi. Jika aturan masuk Anda mengizinkan port TCP 80 dari internet dan klien mengirim permintaan, paket respons (keluar) secara otomatis diizinkan kembali ke klien—meskipun tidak ada aturan keluar untuk port 80. Hal ini pada dasarnya berbeda dari Network ACL, yang tidak berstatus dan memerlukan aturan eksplisit untuk kedua arah lalu lintas. Sifat berstatus membuat grup keamanan lebih mudah dikonfigurasi untuk pola lalu lintas aplikasi yang umum.

Anda dapat melampirkan beberapa grup keamanan ke satu instans EC2 (hingga 5 secara default, dan dapat disesuaikan). Aturan dari semua grup keamanan yang dilampirkan digabungkan menggunakan gabungan (logika OR)—jika grup keamanan mana pun mengizinkan permintaan, permintaan tersebut diizinkan. Artinya, grup keamanan hanya dapat menambahkan izin, tidak pernah membatasinya—jika Anda ingin memperketat akses, Anda harus menghapus atau mengubah aturan, bukan menambahkan grup keamanan yang lebih ketat. Ingat perilaku aditif ini untuk pertanyaan ujian tentang pembatasan akses.

Setiap VPC menyertakan grup keamanan default. Aturan defaultnya: lalu lintas masuk diizinkan dari semua instans lain yang juga berada dalam grup keamanan default; lalu lintas keluar diizinkan ke mana saja. Hal ini sengaja dibuat longgar agar instans baru dapat berkomunikasi secara default. Untuk lingkungan produksi, buat grup keamanan khusus dengan kumpulan aturan masuk yang diperketat dan hapus keterkaitan instans dengan grup keamanan default untuk mencegah paparan yang tidak disengaja.

Pasangan kunci EC2 menggunakan kriptografi asimetris untuk autentikasi SSH. AWS membuat pasangan kunci (atau Anda mengimpor kunci publik sendiri): AWS menyimpan kunci publik dan memasukkannya ke instans saat peluncuran; Anda mengunduh dan menyimpan kunci privat (file .pem)—AWS tidak pernah menyimpannya. SSH menggunakan kunci privat untuk membuktikan identitas Anda kepada server tanpa mengirimkan kata sandi. Kunci privat harus memiliki izin yang ketat (chmod 400), atau SSH akan menolak menggunakannya.

Jika Anda kehilangan kunci privat untuk instans EC2 Linux, Anda tidak dapat masuk melalui SSH dengan cara biasa. Pilihan pemulihan meliputi: Systems Manager Session Manager (jika agen SSM sedang berjalan dan peran IAM terpasang—tidak memerlukan kunci), EC2 Instance Connect (memasukkan kunci sementara melalui peramban atau CLI—memerlukan port SSH yang terbuka dan izin EIC), atau menghentikan instans, melepaskan volume EBS root, memasangnya ke instans lain, mengubah file authorized_keys, memasangnya kembali, lalu memulai ulang. Untuk Windows, gunakan Systems Manager untuk mengambil kata sandi.

Membiarkan SSH (port 22) terbuka untuk 0.0.0.0/0 membuat instans Anda terpapar serangan brute force dan pengisian kredensial dari mana saja di internet. Praktik terbaik: batasi SSH ke rentang IP perusahaan tertentu atau gunakan host bastion (kotak lompat) di subnet publik dengan grup keamanan yang dikendalikan secara ketat, lalu lakukan SSH dari bastion ke instans privat. Lebih baik lagi, gunakan Systems Manager Session Manager untuk menghilangkan paparan port SSH sepenuhnya—tidak diperlukan aturan masuk sama sekali.

Batas default utama untuk grup keamanan (dapat disesuaikan melalui Service Quotas): hingga 2.500 grup keamanan per VPC, 60 aturan masuk dan 60 aturan keluar per grup keamanan, serta 5 grup keamanan per antarmuka jaringan. Saat grup keamanan lain dijadikan referensi sebagai sumber, setiap kombinasi grup keamanan yang direferensikan dan aturan dihitung sebagai satu aturan. Jika mencapai batas aturan, konsolidasikan dengan merujuk ID grup keamanan, bukan rentang IP individual, atau gunakan daftar prefiks untuk mengelompokkan beberapa CIDR menjadi satu entitas yang mudah dikelola.

Daftar prefiks terkelola adalah sekumpulan blok CIDR yang dapat Anda referensikan dalam aturan grup keamanan atau tabel rute. AWS memelihara daftar prefiks yang dikelola AWS untuk layanan seperti S3 dan CloudFront, sehingga Anda dapat mengizinkan lalu lintas ke dan dari layanan tersebut tanpa memelihara rentang IP sendiri (yang berubah seiring waktu). Anda juga dapat membuat daftar prefiks yang dikelola pelanggan untuk mengelompokkan rentang IP perusahaan—perbarui daftar prefiks di satu tempat, dan semua grup keamanan yang merujuknya akan mewarisi perubahan tersebut secara otomatis.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari bahwa: grup keamanan adalah firewall virtual berstatus yang secara default menolak lalu lintas, merangkai grup keamanan berdasarkan ID lebih aman dan fleksibel daripada menggunakan rentang IP, serta pasangan kunci menyediakan autentikasi SSH asimetris, sedangkan Systems Manager Session Manager menghilangkan kebutuhan akan port SSH yang terbuka. Selanjutnya, kita akan membahas pilihan penyimpanan EC2: Instance Store vs EBS.