Network access and security settings - E-MapReduce - Centre de documentation Alibaba Cloud

Cette rubrique décrit les types d'accès réseau et explique comment les configurer pour obtenir un environnement réseau sécurisé et efficace.

Types d'accès réseau

StarRocks prend en charge l'accès VPC et l'accès public.

Accès VPC : permet d'accéder à une instance StarRocks depuis son VPC local ou depuis d'autres VPC.
Accès public : permet d'accéder à une instance StarRocks via Internet. Lorsque l'accès public est activé, vous pouvez toujours accéder à l'instance depuis son VPC.
Important
- L'accès public pour StarRocks utilise le Classic Load Balancer (CLB) d'Alibaba Cloud. Les coûts réseau résultants sont facturés conformément à la Présentation de la facturation CLB.
- Lorsque vous activez l'accès public pour une instance StarRocks, plusieurs instances Classic Load Balancer (CLB) sont automatiquement créées dans votre compte Alibaba Cloud. La protection contre la suppression est activée sur ces instances et elles ne peuvent pas être supprimées.
- Par défaut, l'activation de l'accès public autorise les connexions depuis n'importe quelle adresse IP publique. Vous devez configurer une liste d'autorisation de contrôle d'accès pour sécuriser votre instance.

Paramètres d'accès réseau

Par défaut, les nouvelles instances StarRocks utilisent un endpoint interne. Si vous avez besoin d'un accès public, activez-le pour les nœuds appropriés sur la page Instance Details.

Nœud Frontend (FE) : sur la page Instance Details, dans la section Gateway Information, cliquez sur Enable Access over Internet.
Nœud Backend (BE) ou Compute Node (CN) : sur la page Computing Group, cliquez sur Manage dans la colonne Actions pour l'entrepôt cible, puis cliquez sur Enable Access over Internet.

Types d'endpoint

Il existe deux types d'endpoints :

Endpoint interne (prend en charge l'accès au sein du même VPC et entre vSwitch)
- Le format d'un endpoint interne FE est : fe-{srClusterId}-internal.starrocks.aliyuncs.com:{port}
  
  Remarque
  Les clients externes se connectent à l'endpoint Server Load Balancer (SLB), et non directement aux instances de service. L'instance SLB distribue ensuite les requêtes pour assurer l'équilibrage de charge.
- Le format d'un endpoint interne BE est : be-{srClusterId}-internal.starrocks.aliyuncs.com:{port}
Endpoint public
- Le format d'un endpoint public FE est : fe-{srClusterId}.starrocks.aliyuncs.com:{port}
- Le format d'un endpoint public BE est : be-{srClusterId}.starrocks.aliyuncs.com:{port}

Remarque

{srClusterId} : ID de l'instance StarRocks.
{port} : numéro de port de service. Pour les FE, le port de requête est 9030 et le port HTTP est 8030. Pour les BE, le port HTTP est 8040.

Paramètres de sécurité réseau

Pour protéger vos données, restreignez l'accès à votre instance StarRocks en configurant des listes d'autorisation de sécurité réseau. Les paramètres de sécurité réseau comprennent une liste d'autorisation de groupe de sécurité pour l'accès VPC et une liste d'autorisation de politique de contrôle d'accès pour l'accès public.

Important

Afin de prévenir les risques de sécurité liés aux attaques externes, ne définissez pas l'Authorization Object sur 0.0.0.0/0.

Liste d'autorisation de politique de contrôle d'accès public
1. Dans la section Gateway Information de la page Instance Details de l'instance cible, ainsi que sur la page Manage Warehouse de l'entrepôt cible, cliquez sur Enable Access over Internet à côté de Public Endpoint.
2. Cliquez sur Public IP Address Whitelist à côté de l'Public Endpoint.
3. Sur la page Access Control du Classic Load Balancer (CLB), cliquez sur Add Entry pour ajouter des règles de restriction d'accès.
  
  Pour plus d'informations, consultez la rubrique Contrôle d'accès pour CLB.
Liste d'autorisation de groupe de sécurité pour l'accès VPC

Sur la page Instance Details de l'instance cible, dans la section Gateway Information, vérifiez le Network Type pour déterminer si un Server Load Balancer (SLB) est activé.

Important
Si votre instance passe de PrivateZone à l'accès SLB, la liste d'autorisation VPC du groupe de sécurité existant n'est plus effective. Une fois le SLB activé, l'accès VPC est acheminé via le SLB et les listes d'autorisation de groupe de sécurité ne peuvent pas restreindre le trafic routé par le SLB. Vous devez migrer manuellement les entrées de la liste d'autorisation VPC du groupe de sécurité vers le contrôle d'accès CLB afin de garantir l'efficacité de vos politiques de sécurité d'accès VPC.
- Si le Network Type est SLB, l'instance utilise un Server Load Balancer (SLB).
  
  Sur la page Instance Details, dans la section Gateway Information, cliquez sur View SLB pour accéder à la console SLB et configurer les paramètres de contrôle d'accès. Pour plus de détails, consultez la rubrique Contrôle d'accès pour CLB.
- Si le Network Type est PrivateZone, l'instance n'utilise pas de Server Load Balancer (SLB).
  1. Sur la page Instance Details, dans la section Security Configuration, cliquez sur Whitelist à côté de l'Security Group ID.
  2. Dans le panneau Configure Whitelist, modifiez le groupe de liste d'autorisation par défaut ou cliquez sur Add Whitelist et saisissez un nom ainsi que les adresses IP ou les blocs CIDR.
  3. Cliquez sur OK.