Gérez efficacement les règles de groupe de sécurité à l'aide des listes de préfixes - Elastic Compute Service

Une liste de préfixes est un ensemble de préfixes réseau (blocs CIDR) et une liste de ports est un ensemble de ports. Vous pouvez référencer des listes de préfixes et des listes de ports lors de la configuration des règles de groupe de sécurité. Modifier les entrées d'une liste de préfixes ou d'une liste de ports revient à modifier directement les règles de groupe de sécurité. Cela vous évite de maintenir plusieurs règles de groupe de sécurité qui ne diffèrent que par leurs adresses IP autorisées et leurs plages de ports. Cette rubrique explique comment utiliser les listes de préfixes et les listes de ports pour gérer efficacement les règles de groupe de sécurité.

, et une liste de ports est une collection de ports

et listes de ports

ou liste de ports

et plages de ports

et listes de ports

Scénarios

Pour sécuriser vos ressources cloud, vous pouvez les diviser en plusieurs zones de sécurité, chaque zone correspondant à un groupe de sécurité. Si une source commune, telle que le réseau de votre bureau sur site, doit accéder aux ressources de ces zones, la gestion des accès peut s'avérer complexe, surtout si les adresses réseau de cette source commune changent fréquemment.

Sans liste de préfixes, vous devez maintenir plusieurs règles de groupe de sécurité qui ne diffèrent que par leurs adresses IP source. Lorsque les adresses réseau source changent, vous devez mettre à jour les règles dans plusieurs groupes de sécurité. Plus vous avez de groupes de sécurité et d'adresses réseau, plus cette tâche devient complexe.

Avec une liste de préfixes, regroupez les adresses réseau source et référencez la liste dans vos règles de groupe de sécurité. Lorsqu'une adresse réseau change, il vous suffit de mettre à jour l'entrée dans la liste de préfixes. La modification s'applique automatiquement à toutes les règles de groupe de sécurité associées. Cela simplifie la gestion des politiques de contrôle d'accès et améliore l'efficacité.

Si vos ressources cloud sont déployées dans plusieurs régions Alibaba Cloud, utilisez la fonctionnalité de clonage de liste de préfixes pour copier une liste de préfixes existante vers d'autres régions.

Procédure

Cette procédure vous montre comment utiliser une liste de préfixes pour contrôler quelles adresses IP peuvent se connecter à distance à vos instances, et comment modifier ces autorisations ultérieurement. Cet exemple implique deux blocs CIDR.

Accédez à Console ECS - Liste de préfixes.
Dans le coin supérieur gauche de la page, sélectionnez une région et un groupe de ressources.
Sous l'onglet Prefix Lists, cliquez sur Create Prefix List.
Dans la boîte de dialogue Create Prefix List, configurez les paramètres et cliquez sur OK.
Cet exemple utilise une liste de préfixes qui comprend deux entrées IPv4. Les paramètres suivants sont donnés à titre indicatif :
- Nom de la liste de préfixes : RemoteAccess-IP
- Description : Autorise les adresses IP de cette liste à accéder à des instances ECS spécifiques.
- Famille d'adresses : IPv4
- Nombre maximal d'entrées : 2
  
  Remarque
  Lorsqu'une ressource associée, telle qu'un groupe de sécurité, calcule son quota de règles, elle utilise la valeur Nombre maximal d'entrées, et non le nombre réel d'entrées. Définissez ce paramètre sur une valeur raisonnable.
- Entrées de la liste de préfixes : Cliquez sur Add Entry pour ajouter 192.168.1.0/24 et 192.168.2.0/24.
  Ces blocs CIDR représentent les plages d'adresses IP suivantes :
  - 192.168.1.0/24 représente les adresses IP de 192.168.1.0 à 192.168.1.255.
  - 192.168.2.0/24 représente les adresses IP de 192.168.2.0 à 192.168.2.255.
Utilisez la liste de préfixes dans une règle de groupe de sécurité.

Répétez les étapes suivantes pour ajouter une règle de groupe de sécurité à plusieurs groupes de sécurité. Utilisez la liste de préfixes RemoteAccess-IP comme source.
1. Accédez à Console ECS - Groupe de sécurité.
2. Recherchez le groupe de sécurité cible et cliquez sur Manage Rules dans la colonne Operation.
3. Sous l'onglet Inbound, cliquez sur Add Rule.
4. Configurez les paramètres de la règle de groupe de sécurité et cliquez sur Save.
  Les paramètres d'exemple suivants autorisent l'accès aux services sur les instances du groupe de sécurité.
  - Politique d'autorisation : Allow
  - Priorité : 1
  - Type de protocole : Custom TCP
  - Source : Sélectionnez la liste de préfixes RemoteAccess-IP.
  Après avoir ajouté la règle, le groupe de sécurité autorise le trafic entrant provenant des adresses IP de la liste de préfixes.
Modifiez les entrées dans la liste de préfixes.

Après avoir ajouté la règle de groupe de sécurité, vous devrez peut-être révoquer l'accès à distance de certaines adresses IP pour réduire les risques. Au lieu de modifier les règles dans plusieurs groupes de sécurité, il vous suffit de modifier les entrées dans la liste de préfixes RemoteAccess-IP. Par exemple, si vous utilisez des instances avec les adresses IP privées 192.168.1.1 et 192.168.2.1 comme hôtes de rebond (bastion hosts), vous pouvez effectuer les étapes suivantes pour autoriser les connexions à distance uniquement depuis les hôtes de rebond.
1. Accédez à Console ECS - Liste de préfixes.
2. Sous l'onglet Prefix Lists, recherchez la liste de préfixes RemoteAccess-IP et cliquez sur Details dans la colonne Operation.
3. Cliquez sur l'onglet Entries.
4. Recherchez une entrée de liste de préfixes et cliquez sur Modify dans la colonne Operation.
5. Définissez le paramètre Bloc CIDR et cliquez sur Save.
  
  Modifiez les deux entrées existantes. Définissez leurs paramètres Bloc CIDR respectivement sur 192.168.1.1/32 et 192.168.2.1/32.
  
  Ces modifications prennent effet immédiatement, mettant à jour toutes les règles de groupe de sécurité qui référencent la liste de préfixes. Les groupes de sécurité n'autorisent désormais les connexions à distance que depuis 192.168.1.1/32 et 192.168.2.1/32.