E-MapReduce:Gérer les groupes de sécurité

Informations générales

Lors de la création d'un cluster EMR, utilisez un groupe de sécurité existant ou créez-en un nouveau pour contrôler le trafic entrant et sortant de toutes les instances ECS du groupe. Organisez les instances dans différents groupes de sécurité selon leur rôle. Par exemple, les groupes créés par EMR sont des groupes de sécurité EMR, tandis que vos groupes préexistants sont des groupes de sécurité utilisateur. Chaque groupe de sécurité dispose de ses propres règles de contrôle d'accès.

Pour plus d'informations sur la création d'un groupe de sécurité, consultez la rubrique Créer un groupe de sécurité.

Limites

• Pour le type de réseau classique, ajoutez l'instance à un groupe de sécurité de type réseau classique dans la même région.

• Pour le type de réseau VPC, ajoutez l'instance à un groupe de sécurité situé dans le même VPC.

Remarques

• Lors de l'ajout d'une règle de groupe de sécurité, restreignez toujours la plage d'adresses IP source. N'utilisez pas 0.0.0.0/0 afin de prévenir les attaques potentielles.

• Lors de l'ajout de règles de groupe de sécurité, appliquez le principe du moindre privilège. Pour l'objet d'autorisation, accordez l'accès uniquement depuis votre adresse IP publique actuelle. Vous pouvez trouver votre adresse IP publique actuelle en visitant la page Adresse IP.

• N'utilisez pas de groupes de sécurité d'entreprise créés dans la console ECS pour votre cluster EMR.

• Le service EMR utilise le bloc CIDR 100.64.0.0/10 et les plages VIP internes d'Object Storage Service (OSS) pour fournir des services de plan de contrôle aux clusters EMR. Ne bloquez pas le trafic provenant de ces plages dans le groupe de sécurité de votre cluster. Pour plus d'informations, consultez la rubrique Accéder à OSS via les endpoints et les noms de domaine des buckets.

  Vous êtes responsable de toute défaillance du service EMR causée par des configurations incorrectes des groupes de sécurité.

• Lors de la configuration des règles de groupe de sécurité pour un cluster EMR, assurez-vous que toutes les instances ECS du cluster peuvent communiquer entre elles via le réseau interne. Dans le cas contraire, les services Big Data du cluster seront interrompus.

Ajouter une instance à un groupe de sécurité

1. Accédez à la page Nodes.

   1. Connectez-vous à la console E-MapReduce.

   2. Dans la barre de navigation supérieure, sélectionnez une région et un groupe de ressources.

   3. Sur la page Clusters, localisez le cluster et cliquez sur Nodes dans la colonne Actions.

2. Accédez à la liste des groupes de sécurité.

   1. Sur la page Nodes, cliquez sur l'icône située à gauche d'un groupe de nœuds.

   2. Cliquez sur l'ID de l'instance ECS.

   3. Sur la page des détails de l'instance, cliquez sur l'onglet Security Group.

3. Sur la page Security Groups, cliquez sur Add to Security Group.

4. Dans la boîte de dialogue Add to Security Group, sélectionnez un groupe de sécurité dans la liste Security Group.

   Pour ajouter l'instance ECS à plusieurs groupes de sécurité, sélectionnez un groupe de sécurité et cliquez sur Add to Batch Selection. Cette action ajoute le groupe au volet de sélection. Répétez cette opération pour ajouter d'autres groupes de sécurité.

5. Cliquez sur OK.

   Répétez les étapes Étape 2 à Étape 4 pour ajouter les autres instances ECS du cluster EMR aux groupes de sécurité appropriés.

Ajouter une règle de groupe de sécurité

1. Obtenez votre adresse IP publique.

   Pour accéder en toute sécurité aux composants du cluster, autorisez uniquement le trafic provenant de votre adresse IP publique actuelle dans la règle de groupe de sécurité. Vous pouvez trouver votre adresse IP publique actuelle en visitant la page Adresse IP.

2. Accédez à la page du groupe de sécurité.

   1. Connectez-vous à la console E-MapReduce.

   2. Dans la barre de navigation supérieure, sélectionnez une région et un groupe de ressources.

   3. Sur la page Clusters, cliquez sur l'ID du cluster.

   4. Sur la page Basic Information, cliquez sur le lien situé à côté de Cluster Security Group.

3. Sur la page Security Group Rules, cliquez sur Add Rule et configurez la règle.

   Définissez les paramètres Port Range et Authorization Object. Conservez les valeurs par défaut pour les autres paramètres. Pour plus d'informations, consultez la rubrique Ajouter une règle de groupe de sécurité.

   Paramètre	Description
   Port number range	Port à ouvrir sur l'instance ECS pour l'accès.
   Authorization Object	L'adresse IP publique que vous avez obtenue à l'étape 1. Important Pour éviter les risques de sécurité, ne définissez pas l'Authorization Object sur 0.0.0.0/0.

4. Cliquez sur Save.