Cloud-native API Gateway et vos services backend peuvent résider dans des groupes de sécurité différents. Ajoutez des règles de groupe de sécurité pour accorder à la passerelle l'accès à vos services backend.
Contexte
Un groupe de sécurité est un pare-feu virtuel qui contrôle le trafic entrant et sortant des instances ECS et des ENI grâce à une inspection et un filtrage stateful des paquets. Configurez des règles de groupe de sécurité pour isoler les domaines de sécurité dans le cloud. Présentation des groupes de sécurité.
Lorsque vous créez une instance Cloud-native API Gateway, vous sélectionnez un VPC et un type de groupe de sécurité. Choisissez le même type que celui de votre service backend. La passerelle crée un groupe de sécurité géré pour les nœuds de son instance. Étant donné que la passerelle et les nœuds du service backend se trouvent dans des groupes de sécurité distincts, vous devez ajouter une règle au groupe de sécurité du service backend afin d'autoriser l'accès de la passerelle sur les plages de ports requises.
Le schéma ci-dessous illustre comment Cloud-native API Gateway utilise les groupes de sécurité pour contrôler l'accès réseau et acheminer le trafic :
Un client envoie une requête via Cloud-native API Gateway vers le réseau interne.
La passerelle achemine le trafic vers
service-sg1etservice-sg2selon les règles de routage.Le pod dans
service-sg1traite les requêtes sur le port 8080.L'instance ECS dans
service-sg2traite les requêtes sur les ports 80 à 9000.
Étape 1 : Identifier le groupe de sécurité
Les services backend de Cloud-native API Gateway sont généralement déployés dans Container Service for Kubernetes (ACK) ou sur des instances ECS. Identifiez l'ID du groupe de sécurité de votre service backend.
Container Service (ACK)
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.
Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur .
Sur la page Node Pools, cliquez sur le nœud cible, puis sur l'onglet Basic Information pour trouver l'ID du groupe de sécurité.
Instance ECS
Connectez-vous à la console ECS.
Dans le volet de navigation de gauche, choisissez .
Sur la page Instances, cliquez sur l'instance ECS cible, puis sur l'onglet Security Groups pour trouver l'ID du groupe de sécurité.
Étape 2 : Ajouter une règle de groupe de sécurité
Connectez-vous à la console API Gateway.
Dans le volet de navigation de gauche, cliquez sur . Dans la barre de navigation supérieure, sélectionnez une région.
Sur la page Instance, cliquez sur l'ID de l'instance cible.
Dans le volet de navigation de gauche, cliquez sur Overview, puis sur l'onglet Security Group Authorizations.
Cliquez sur Add Security Group Rule. Dans la zone de texte Security Group ID, collez l'ID du groupe de sécurité obtenu à l'étape 1, puis sélectionnez le groupe de sécurité.
-
Saisissez la Port Range pour l'autorisation du groupe de sécurité : Port de début/Port de fin.
Vous pouvez saisir plusieurs plages de ports. Appuyez sur Entrée après chaque plage.
-
Cliquez sur Save.
Cloud-native API Gateway crée la règle correspondante.
La règle apparaît également dans le groupe de sécurité du nœud cible.
Supprimer une règle de groupe de sécurité
Connectez-vous à la console API Gateway.
Dans le volet de navigation de gauche, cliquez sur . Dans la barre de navigation supérieure, sélectionnez une région.
Sur la page Instance, cliquez sur l'ID de l'instance cible.
Cliquez sur l'onglet Security Group Authorizations. Recherchez la règle à supprimer, cliquez sur Delete dans la colonne Actions, puis cliquez sur OK.
Par défaut, seule la règle du groupe de sécurité de la passerelle est supprimée. Pour supprimer également la règle entrante du groupe de sécurité du nœud cible, cochez l'option The preceding inbound rules in the security group are also deleted.
FAQ
Service inaccessible après l'ajout d'une règle
Vérifiez les points suivants :
-
Assurez-vous d'avoir ajouté la règle au bon groupe de sécurité.
Par exemple, le service s'exécute sur le nœud A, mais la règle a été ajoutée au groupe de sécurité du nœud B.
-
Vérifiez si le nœud cible appartient à plusieurs groupes de sécurité.
Si tel est le cas, ajoutez la règle d'autorisation à chaque groupe de sécurité.
Un service précédemment accessible ne fonctionne plus
Vérifiez les points suivants :
-
Vérifiez que votre service fonctionne correctement.
Exécutez
curldepuis un autre nœud situé dans le même groupe de sécurité pour vérifier la connectivité. -
Vérifiez si le port exposé par votre service a changé.
Par exemple, si le service est passé du port 8080 au port 8081, mais que la règle ne couvre que le port 8080, l'accès échoue. Pour éviter ce problème, utilisez une plage de ports plus large, telle que 1-65535.