E-MapReduce:Gestión de security groups

Contexto

Cuando crea un clúster de EMR, utilice un security group existente o cree uno nuevo para controlar el tráfico entrante y saliente de todas las instancias ECS del grupo. Organice las instancias en distintos security groups según su función. Por ejemplo, los security groups creados por EMR son security groups de EMR, mientras que los grupos preexistentes son security groups de usuario. Cada security group puede tener su propio conjunto de reglas de control de acceso.

Para obtener más información sobre cómo crear un security group, consulte Create a security group.

Límites

• En redes de tipo classic network, la instancia debe agregarse a un security group de tipo classic network dentro de la misma región.

• En redes de tipo VPC, la instancia debe agregarse a un security group dentro de la misma VPC.

Notas

• Al agregar una regla de security group, restrinja siempre el rango de direcciones IP de origen. No use 0.0.0.0/0 para evitar posibles ataques.

• Siga el principio de privilegio mínimo cuando agregue reglas de security group. Para el objeto de autorización, conceda acceso únicamente desde su dirección IP pública actual. Consulte su dirección IP pública actual en Dirección IP.

• No utilice enterprise security groups creados en la consola de ECS para su clúster de EMR.

• El servicio EMR utiliza el bloque CIDR 100.64.0.0/10 y los rangos VIP internos de Object Storage Service (OSS) para proporcionar servicios del plano de control a los clústeres de EMR. No bloquee el tráfico proveniente de estos rangos en el security group de su clúster. Para obtener más información, consulte Access OSS by using endpoints and bucket domain names.

  Usted es responsable de cualquier falla del servicio EMR causada por configuraciones incorrectas del security group.

• Asegúrese de que todas las instancias ECS del clúster puedan comunicarse entre sí a través de la red interna cuando configure reglas de security group para un clúster de EMR. De lo contrario, los servicios de big data del clúster se verán interrumpidos.

Agregar una instancia a un security group

1. Vaya a la página Nodes.

   1. Inicie sesión en la consola de E-MapReduce.

   2. En la barra de navegación superior, seleccione una región y un resource group.

   3. En la página Clusters, busque el clúster y haga clic en Nodes en la columna Actions.

2. Vaya a la página de lista de security groups.

   1. En la página Nodes, haga clic en el icono situado a la izquierda de un grupo de nodos.

   2. Haga clic en el ID de la instancia ECS.

   3. En la página de detalles de la instancia, haga clic en la pestaña Security Group.

3. En la página Security Groups, haga clic en Add to Security Group.

4. En el cuadro de diálogo Add to Security Group, seleccione un security group en la lista Security Group.

   Para agregar la instancia ECS a varios security groups, seleccione un security group y haga clic en Add to Batch Selection. Esta acción agrega el grupo al panel de selección. Repita este proceso para agregar otros security groups.

5. Haga clic en OK.

   Repita del Step 2 al Step 4 para agregar las demás instancias ECS del clúster de EMR a los security groups correspondientes.

Agregar una regla de security group

1. Obtenga su dirección IP pública.

   Para acceder de forma segura a los componentes del clúster, permita únicamente el tráfico desde su dirección IP pública actual en la regla de security group. Consulte su dirección IP pública actual en Dirección IP.

2. Vaya a la página del security group.

   1. Inicie sesión en la consola de E-MapReduce.

   2. En la barra de navegación superior, seleccione una región y un resource group.

   3. En la página Clusters, haga clic en el ID del clúster.

   4. En la página Basic Information, haga clic en el enlace junto a Cluster Security Group.

3. En la página Security Group Rules, haga clic en Add Rule y configure la regla.

   Establezca Port Range y Authorization Object. Conserve los valores predeterminados para los demás parámetros. Para obtener más información, consulte Add a security group rule.

   Parámetro	Descripción
   Port number range	El puerto que se abre en la instancia ECS para permitir el acceso.
   Authorization Object	La dirección IP pública que obtuvo en el Step 1. Importante Para evitar riesgos de seguridad, no establezca Authorization Object en 0.0.0.0/0.

4. Haga clic en Save.