Lors de la création d'un cluster Container Service for Kubernetes (ACK), une instance Classic Load Balancer (CLB) privée est automatiquement créée pour servir de point de terminaison interne au serveur API du cluster. En associant une adresse IP élastique (EIP) à cette instance CLB privée, vous exposez le serveur API à Internet via un point de terminaison public. Pour prévenir les accès non autorisés, configurez des règles de contrôle d'accès pour l'écouteur sur le port 6443 de l'instance CLB privée en définissant une liste d'autorisation ou une liste de blocage.
Les points de terminaison public et interne partageant la même instance CLB privée, les règles de contrôle d'accès configurées s'appliquent aux deux points de terminaison.
Server Load Balancer (SLB) propose un contrôle d'accès au niveau de l'écouteur. Vous pouvez configurer ce contrôle lors de la création d'un écouteur ou le modifier ultérieurement. Pour plus d'informations, consultez la rubrique Contrôle d'accès.
Procédure
Configurez une liste d'autorisation ou une liste de blocage pour différents écouteurs afin d'autoriser ou de bloquer l'accès depuis des adresses IP spécifiques.
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.
Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Cluster Information.
Sur la page Cluster Information, cliquez sur l'onglet Basic Information. Dans la section Network, repérez l'option Internal Endpoint et cliquez sur Set access control à droite. Lisez attentivement l'avertissement affiché à l'écran, puis cliquez sur OK.
-
Dans le panneau qui s'ouvre dans la console Server Load Balancer (SLB), activez l'option Access Control, sélectionnez une méthode de contrôle d'accès et une liste de contrôle d'accès (ACL), puis cliquez sur OK.
Avant d'activer le contrôle d'accès, créez une liste de contrôle d'accès (ACL) et ajoutez-y des entrées d'adresses IP. Pour plus d'informations sur le contrôle d'accès pour Classic Load Balancer (CLB), consultez la rubrique Contrôle d'accès.
ImportantLors de la configuration d'une politique de contrôle d'accès, assurez-vous que les adresses IP client spécifiées, ainsi que les plages d'adresses IP des composants du plan de contrôle du cluster et des services liés à la console, peuvent accéder au serveur API. Ajoutez les blocs CIDR suivants à la liste d'autorisation. Ne les ajoutez pas à la liste de blocage, sous peine de perturber le fonctionnement du cluster et les opérations de gestion.
Le bloc CIDR 100.104.0.0/16, réservé au plan de contrôle de Container Service for Kubernetes.
Les blocs CIDR principaux et supplémentaires du Virtual Private Cloud (VPC) du cluster, ou les blocs CIDR des vSwitch où résident les nœuds du cluster.
Les blocs CIDR de sortie des clients devant accéder au serveur API.
Pour les clusters ACK Edge, ajoutez également les blocs CIDR de sortie des nœuds edge.
Pour les clusters ACK Lingjun, ajoutez également les blocs CIDR du Virtual Private Datacenter (VPD) Lingjun.