PolarDB:Configuración de listas blancas para un clúster

Precauciones

• PolarDB no admite obtener automáticamente las direcciones IP privadas de las instancias ECS en VPCs. Debe introducir manualmente en la lista blanca la dirección IP privada de la instancia ECS que necesita acceder al clúster de PolarDB for MySQL.

• Es posible configurar tanto listas blancas de IP como security groups. Las instancias ECS incluidas en la lista blanca de IP y las que pertenecen al security group pueden acceder al clúster de PolarDB for MySQL.

• Los grupos ali_dms_group (lista blanca de IP para DMS), hdm_security_ips (lista blanca de IP para DAS) y dtspolardb (lista blanca de IP para DTS) se generan automáticamente cuando utiliza los servicios relacionados. No modifique ni elimine estos grupos para evitar afectar el uso de dichos servicios.

  Importante

  No agregue las direcciones IP de su negocio a estos grupos. De lo contrario, podrían sobrescribirse cuando se actualicen los servicios relacionados, lo cual afectaría las operaciones normales del negocio.

  

• Puede crear hasta 50 grupos de listas blancas de IP. Todos los grupos admiten un total acumulado de 1,000 direcciones IP o bloques CIDR.

Escenarios

Las listas blancas de IP controlan qué direcciones IP o security groups pueden acceder a un clúster de PolarDB for MySQL. Configurar estas listas proporciona un alto nivel de seguridad de acceso para su clúster de PolarDB for MySQL. Se recomienda mantener las listas blancas de forma periódica. A continuación se describen escenarios comunes donde es necesario configurar listas blancas de IP:

• Si su instancia ECS necesita acceder a un clúster de PolarDB for MySQL, consulte la dirección IP de la instancia ECS en la página Instance Details y agréguela a la lista blanca de IP.

  Nota

  • Si la instancia ECS y el clúster de PolarDB for MySQL están en la misma VPC, introduzca la dirección IP privada de la instancia ECS o el bloque CIDR de la VPC.

  • Si la instancia ECS y el clúster de PolarDB for MySQL no están en la misma VPC, introduzca la dirección IP pública de la instancia ECS o agregue el security group al que pertenece dicha instancia. También puede migrar la instancia ECS a la VPC donde reside el clúster de PolarDB for MySQL y, después, introducir la dirección IP privada de la instancia ECS o el bloque CIDR de la VPC.

• Si sus servidores locales, computadoras u otros servidores en la nube necesitan acceder a un clúster de PolarDB, agregue sus direcciones IP públicas a la lista blanca de IP.

Configuración de listas blancas de IP

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. Seleccione la Region donde se desplegó el clúster y, a continuación, haga clic en el ID del clúster para ir a la página de detalles del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Cluster Whitelists.

3. En la página Cluster Whitelists, puede usar Add IP Whitelist o Modify un grupo de listas blancas existente.

   • Agregar un grupo de listas blancas de IP:

     Haga clic en Add IP Whitelist. En el cuadro de diálogo Add IP Whitelist, introduzca el nombre del grupo y las direcciones IP con permiso para acceder al clúster.

   • Configurar un grupo de listas blancas de IP:

     Haga clic en Modify a la derecha del nombre del grupo de listas blancas de IP de destino. En el cuadro de diálogo Modify Whitelist, introduzca las direcciones IP con permiso para acceder al clúster.

   Nota

   • El nombre del grupo de listas blancas de IP debe cumplir los siguientes requisitos:

     • Puede contener letras minúsculas, dígitos y guiones bajos (_).

     • Debe comenzar con una letra y terminar con una letra o un dígito.

     • Debe tener entre 2 y 120 caracteres de longitud.

   • Para las direcciones IP en la lista blanca:

     • Puede introducir una dirección IP (por ejemplo, 192.168.0.1) o un bloque CIDR (por ejemplo, 192.168.0.0/24).

     • Cuando los pods de un clúster de Kubernetes (como ACK) acceden al clúster, las direcciones IP de los pods cambian al recrearse los contenedores. Configure el bloque CIDR al que pertenecen las direcciones IP de los pods en lugar de una sola dirección IP de pod. Por ejemplo, si las direcciones IP de los pods están en el rango 172.19.34.x, configure 172.19.34.0/24. Si no tiene certeza sobre el bloque CIDR, configure 172.19.0.0/16. También puede asociar un security group. Las instancias ECS del security group se agregan automáticamente a la lista blanca.

     • Separe varias direcciones IP con comas (,), por ejemplo, 192.168.0.1,192.168.0.0/24.

     • 127.0.0.1 indica que ninguna dirección IP tiene permiso para acceder al clúster.

     • 0.0.0.0/0 indica que cualquier dirección IP puede acceder al clúster de base de datos. Esta configuración reduce significativamente la seguridad de la base de datos. No la utilice a menos que sea necesario.

   • Cada clúster incluye un grupo de listas blancas de IP predeterminado llamado default que contiene la dirección IP 127.0.0.1, lo cual significa que ninguna dirección IP puede acceder al clúster.

Preguntas frecuentes

Para obtener más información sobre problemas con las listas blancas de IP, consulte Troubleshoot IP whitelist issues.

Referencias

• Set up a global IP whitelist template: una plantilla global de lista blanca de IP le permite mantener un único conjunto de plantillas de listas blancas de IP que se aplican dinámicamente a todos los clústeres de PolarDB asociados.

• Configure a security group: después de agregar un security group, las instancias ECS que contiene se añaden automáticamente a la lista blanca del clúster de PolarDB y se mantienen actualizadas. Esto elimina la necesidad de actualizar manualmente la lista blanca del clúster de PolarDB tras agregar nuevas instancias ECS.

Operaciones de API relacionadas