Container Service for Kubernetes:Configure ACL-based access control with AlbConfig

Paso 1: Crear una ACL

1. Inicie sesión en la consola de ALB.

2. En la barra de navegación superior, seleccione una región.

3. En el panel de navegación izquierdo, vaya a ALB > Access Control.

4. En la página Access Control, haga clic en Create Access Control List.

5. En el cuadro de diálogo Create ACL, configure los parámetros y haga clic en OK.

   Parámetro	Descripción
   ACL Name	Nombre de la ACL.
   Tag Key / Tag Value	Etiquetas para filtrar ACL en la página Access Control.
   Resource Group	Seleccione un resource group.

Paso 2: Agregar entradas a la ACL

Las entradas de la ACL especifican las direcciones IP de origen o los bloques CIDR que se compararán con las solicitudes entrantes.

1. En la página Access Control, localice la ACL y haga clic en Manage en la columna Actions.

2. En la pestaña Entry de la página de detalles de la ACL, agregue entradas:

   • Entrada única: haga clic en Add Entry, configure IP/CIDR Block y Remarks, y luego haga clic en Add.

   • Varias entradas: haga clic en Add ACL Entries, introduzca los bloques CIDR con sus observaciones y haga clic en Add:

     • Introduzca una entrada por línea.

     • Use una barra vertical (|) para separar los bloques IP/CIDR de las observaciones. Ejemplo: 192.168.1.0/24|Remarks.

     • Agregue hasta 20 entradas a la vez.

3. Después de agregar las entradas:

   • Consulte los bloques CIDR en Entry.

   • Elimine entradas desde la columna Actions, o seleccione varias entradas y haga clic en Delete.

   • Exporte las entradas con el icono ubicado en la esquina superior derecha. Para exportar entradas específicas, selecciónelas y haga clic en el icono .

Paso 3: Asociar la ACL con un listener

Agregue spec.listeners.aclConfig a su AlbConfig y especifique el ID de la ACL en aclIds.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
  #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White   # Whitelist mode
        aclIds:
          - acl-wtg***   # Replace with your ACL ID
#...

Parámetros de aclConfig:

Paso 4: Comprobar el efecto del control de acceso

Acceda al Service de backend desde un cliente cuya dirección IP pública coincida con una entrada de la lista de permitidos (o que no coincida con ninguna entrada de la lista de bloqueados).

Este ejemplo utiliza recursos de Get started with ALB Ingress.

Si se permite el acceso, el cliente alcanzará el Service de backend.

Paso 5: (Opcional) Desasociar la ACL del listener

Para desasociar una ACL, elimine su ID de aclIds o establezca aclIds en null.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White
        aclIds: null   # Removes the associated ACL
  #...

Para eliminar la ACL en sí, utilice la consola de ALB . Las ACL no se pueden eliminar desde un AlbConfig.

Paso 1: Configurar entradas de ACL en el AlbConfig

Agregue o actualice spec.listeners.aclConfig en el AlbConfig. Especifique los bloques CIDR en aclEntries y, opcionalmente, un nombre en aclName.

Si se establece aclName, la ACL usará ese nombre. Si no se establece aclName, el nombre se genera automáticamente como acl-{albName}-{port}.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16
          - 172.10.XX.XX/16
        aclType: White   # Whitelist mode
        aclName: "acl-test"   # Creates an ACL named acl-test
  #...

Parámetros de aclConfig:

Paso 2: Comprobar el efecto del control de acceso

Acceda al Service de backend desde un cliente cuya dirección IP pública coincida con una entrada de la lista de permitidos (o que no coincida con ninguna entrada de la lista de bloqueados).

Este ejemplo utiliza recursos de Get started with ALB Ingress.

Si se permite el acceso, el cliente alcanzará el Service de backend.

Paso 3: (Opcional) Eliminar entradas de la ACL

Actualice aclEntries en el AlbConfig. El controlador sincroniza los cambios con la ACL asociada.

Este ejemplo elimina 172.10.XX.XX/16 de acl-test y conserva únicamente 192.168.XX.XX/16. Establezca aclEntries en una lista vacía para eliminar todas las entradas.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16   # 172.10.XX.XX/16 is removed from acl-test
        aclType: White
        aclName: "acl-test"
  #...

Para eliminar la ACL en sí, utilice la consola de ALB . Las ACL no se pueden eliminar desde un AlbConfig.