Contrôlez l'accès des clients à un écouteur en autorisant uniquement certaines adresses IP (liste d'autorisation) ou en bloquant des adresses IP spécifiques (liste de blocage).
Fonctionnement
Le contrôle d'accès repose sur des listes de contrôle d'accès (ACL) et un mode de contrôle d'accès.
ACL : Ajoutez plusieurs adresses IP ou blocs CIDR pour gérer de manière centralisée les adresses présentant les mêmes exigences de sécurité.
-
Mode de contrôle d'accès : Configurez une liste d'autorisation ou une liste de blocage pour chaque écouteur.
Whitelist : Autorise certaines adresses IP à accéder à un écouteur GA. Seules les requêtes provenant d'adresses IP ou de blocs CIDR figurant dans l'ACL sélectionnée sont transférées.
Blacklist : Bloque l'accès d'adresses IP spécifiques à un écouteur GA. Les requêtes provenant d'adresses IP ou de blocs CIDR figurant dans l'ACL sélectionnée ne sont pas transférées.
La configuration d'une liste d'autorisation comporte des risques. Une fois la liste d'autorisation configurée, seules les adresses IP figurant dans cette liste peuvent accéder à l'écouteur. Si la liste d'autorisation est activée mais que l'ACL est vide, l'écouteur transfère toutes les requêtes.
Si vous activez une liste de blocage pour un écouteur sans ajouter d'adresse IP à l'ACL associée, l'écouteur transfère toutes les requêtes.
Lors de la création d'une ACL, spécifiez sa version IP (IPv4 ou IPv6) et appliquez-la à un écouteur dont l'IP accélérée utilise la même version.
Limites
Pay-as-you-go
Seuls les écouteurs de routage intelligent prennent en charge le contrôle d'accès.
-
Une seule instance Global Accelerator prend en charge un maximum de 600 adresses IP ou blocs CIDR dans toutes les entrées ACL de tous ses écouteurs.
Pour un seul écouteur, le nombre maximal d'adresses IP ou de blocs CIDR dans les ACL associées est calculé comme suit :
Nombre total de ports pour l'écouteur (une plage de ports compte comme un seul port) × Nombre d'entrées ACL
Si le protocole de l'écouteur est HTTP/3 : Nombre total de ports pour l'écouteur (une plage de ports compte comme un seul port) × Nombre d'entrées ACL × 2
Une ACL peut être associée à un maximum de 10 écouteurs.
-
Un écouteur peut être associé à au plus une ACL IPv4 et une ACL IPv6.
Si l'IP accélérée utilise IPv4 ou IPv6 et que l'écouteur dispose à la fois d'une ACL IPv4 et d'une ACL IPv6, seule l'ACL correspondant à la version IP de l'IP accélérée prend effet.
Si l'IP accélérée utilise une pile double et que l'écouteur dispose à la fois d'une ACL IPv4 et d'une ACL IPv6, les deux ACL prennent effet.
Subscription
Seuls les écouteurs de routage intelligent prennent en charge le contrôle d'accès.
Une ACL associée à un écouteur peut contenir un maximum de 200 adresses IP ou blocs CIDR uniques.
Une ACL peut être associée à un maximum de 10 écouteurs.
-
Un écouteur peut être associé à au plus une ACL IPv4 et une ACL IPv6.
Si l'IP accélérée utilise IPv4 ou IPv6 et que l'écouteur dispose à la fois d'une ACL IPv4 et d'une ACL IPv6, seule l'ACL correspondant à la version IP de l'IP accélérée prend effet.
Flux de configuration
Créer une ACL
Avant d'activer le contrôle d'accès, créez une ACL.
Connectez-vous à la console Global Accelerator.
Dans le volet de navigation de gauche, choisissez .
Sur la page Access Control, cliquez sur Create ACL.
-
Dans la boîte de dialogue Create ACL, configurez les paramètres et cliquez sur OK.
Paramètre
Description
ACL Name
Saisissez un nom pour l'ACL.
IP Version
Sélectionnez la version IP de l'ACL.
-
IPv4 : Prend effet uniquement pour les points de terminaison d'accélération qui utilisent des IP accélérées IPv4.
-
IPv6 : Prend effet uniquement pour les points de terminaison d'accélération qui utilisent des IP accélérées IPv6.
Resource Group
Sélectionnez le groupe de ressources auquel l'ACL appartient.
Créer un groupe de ressources dans Resource Management.
Tag
Ajoutez un tag à l'ACL.
Sélectionnez ou saisissez une Key et une Value.
Pour gérer les tags d'ACL, utilisez la gestion des tags.
-
Ajouter des entrées ACL
Après avoir créé une ACL, ajoutez-y des entrées d'adresse IP ou de bloc CIDR.
Connectez-vous à la console Global Accelerator.
Dans le volet de navigation de gauche, choisissez .
Recherchez l'ACL cible et cliquez sur Manage ACL dans la colonne Actions.
-
Sur la page des détails de l'ACL, ajoutez des entrées de l'une des manières suivantes :
-
Ajouter une entrée unique
Cliquez sur Add Rule. Dans la boîte de dialogue Add ACL Entry, saisissez l'IP Address/CIDR Block et un Remark, puis cliquez sur OK.
-
Ajouter plusieurs entrées
Cliquez sur Add Multiple Rules. Dans la boîte de dialogue Add Multiple Rules, ajoutez plusieurs adresses IP ou blocs CIDR selon les instructions, puis cliquez sur OK.
-
Activer le contrôle d'accès pour un écouteur
Avant d'activer le contrôle d'accès, assurez-vous d'avoir créé un écouteur. Ajouter et gérer des écouteurs de routage intelligent.
Connectez-vous à la console Global Accelerator.
Sur la page Instances, recherchez l'instance GA cible, puis cliquez sur Configure Listener dans la colonne Actions.
Sous l'onglet Listeners, cliquez sur l'ID de l'écouteur pour lequel vous souhaitez activer le contrôle d'accès.
Sous l'onglet Listener Details, dans la section Access Control, activez le commutateur Access Control.
-
Dans la boîte de dialogue Enable Access Control, configurez les paramètres suivants et cliquez sur OK.
Paramètre
Description
ACL Type
Sélectionnez un mode de contrôle d'accès :
-
Whitelist : Transfère les requêtes provenant d'adresses IP ou de blocs CIDR figurant dans l'ACL sélectionnée.
-
Blacklist : Ne transfère pas les requêtes provenant d'adresses IP ou de blocs CIDR figurant dans l'ACL sélectionnée.
Avertissement-
La configuration d'une liste d'autorisation comporte des risques. Une fois la liste d'autorisation configurée, seules les adresses IP figurant dans cette liste peuvent accéder à l'écouteur. Si la liste d'autorisation est activée mais que l'ACL est vide, l'écouteur transfère toutes les requêtes.
-
Si vous activez une liste de blocage pour un écouteur sans ajouter d'adresse IP à l'ACL associée, l'écouteur transfère toutes les requêtes.
ACL
Sélectionnez une ACL.
Vous pouvez également cliquer sur +Add ACL pour ajouter deux ACL simultanément.
-
Dissocier une ACL d'un écouteur
Dissociez les ACL qui ne sont plus nécessaires d'un écouteur.
La dissociation de toutes les ACL d'un écouteur désactive automatiquement le contrôle d'accès.
Connectez-vous à la console Global Accelerator.
Sur la page Instances, recherchez l'instance GA cible, puis cliquez sur Configure Listener dans la colonne Actions.
Sous l'onglet Listener, cliquez sur l'ID de l'écouteur duquel vous souhaitez dissocier une ACL.
Sous l'onglet Listener Details, dans la section Access Control, cliquez sur l'icône
située à côté de ACL.Dans la boîte de dialogue Modify ACL, recherchez l'ACL que vous souhaitez dissocier, cliquez sur Disassociate dans la colonne Actions, puis cliquez sur OK.
Désactiver le contrôle d'accès pour un écouteur
Désactivez le contrôle d'accès lorsque vous n'avez plus besoin de restreindre l'accès à l'écouteur.
Connectez-vous à la console Global Accelerator.
Sur la page Instances, recherchez l'instance GA cible, puis cliquez sur Configure Listener dans la colonne Actions.
Sous l'onglet Listener, cliquez sur l'ID de l'écouteur pour lequel vous souhaitez désactiver le contrôle d'accès.
Sous l'onglet Listener Details, dans la section Access Control, désactivez le commutateur Access Control.
Dans la boîte de dialogue qui s'affiche, cliquez sur OK.
Supprimer des entrées ACL
Supprimez des entrées d'adresse IP d'une ACL.
Connectez-vous à la console Global Accelerator.
Dans le volet de navigation de gauche, choisissez .
Recherchez l'ACL cible et cliquez sur Manage ACL dans la colonne Actions.
Dans la colonne Actions de l'entrée IP cible, cliquez sur Delete. Vous pouvez également sélectionner plusieurs entrées IP et cliquer sur Delete sous la liste des entrées.
Dans la boîte de dialogue qui s'affiche, cliquez sur OK.
Supprimer une ACL
Supprimez les ACL inutilisées.
Avant de supprimer une ACL, dissociez-la de tous les écouteurs associés. Dissocier une ACL d'un écouteur.
Connectez-vous à la console Global Accelerator.
Dans le volet de navigation de gauche, choisissez .
Recherchez l'ACL cible et cliquez sur Delete dans la colonne Actions.
Dans la boîte de dialogue qui s'affiche, cliquez sur OK.
Opérations API associées
CreateAcl : Créez une ACL.
AddEntriesToAcl : Ajoutez des entrées IP à une ACL.
AssociateAclsWithListener : Associez une ACL à un écouteur.
DissociateAclsFromListener : Dissociez une ACL d'un écouteur.
RemoveEntriesFromAcl : Supprimez des entrées IP d'une ACL.
DeleteAcl : Supprimez une ACL.