Par défaut, aucun appareil externe ne peut se connecter à une instance ApsaraDB RDS for MariaDB. Configurez une liste d'autorisation d'adresses IP pour spécifier les adresses IP ou les blocs CIDR autorisés à se connecter.
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Une instance ApsaraDB RDS for MariaDB en cours d'exécution
Les adresses IP ou les blocs CIDR des clients nécessitant un accès à la base de données
Fonctionnement
Chaque instance RDS for MariaDB possède une liste d'autorisation par défaut intitulée default, préremplie avec l'entrée 127.0.0.1. Cette entrée bloque toutes les connexions externes. Ajoutez les adresses IP de vos clients à une liste d'autorisation pour autoriser l'accès.
Les instances RDS for MariaDB s'exécutent uniquement dans des réseaux privés virtuels (VPC). Le mode de liste d'autorisation standard accepte les adresses IP provenant à la fois des VPC et des réseaux classiques.
Nous vous recommandons de mettre régulièrement à jour les listes d'autorisation d'adresses IP configurées.
Limites
| Limite | Détails |
|---|---|
| Nombre maximal de listes d'autorisation par instance | 50 |
| Nombre maximal d'adresses IP et de blocs CIDR par instance | 1 000 |
| Plage de préfixe de bloc CIDR | 1–32 (par exemple, 10.10.10.0/24) |
Si vous devez ajouter un grand nombre d'adresses, regroupez-les dans des blocs CIDR. Pour plus d'informations, consultez la FAQ sur les blocs CIDR.
Listes d'autorisation gérées par le système
Lorsque vous utilisez un service Alibaba Cloud pour vous connecter à votre instance, ce service crée automatiquement sa propre liste d'autorisation :
Data Management (DMS) crée ali_dms_group
Database Autonomy Service (DAS) crée hdm_security_ips
Ne modifiez ni ne supprimez ces listes d'autorisation gérées par le système.
N'ajoutez pas vos propres adresses IP de service aux listes d'autorisation gérées par le système. Ces entrées peuvent être écrasées lors des mises à jour du service, ce qui risque d'interrompre votre connexion. Pour les instances créées après décembre 2020, hdm_security_ips est masquée dans la console afin d'éviter toute modification accidentelle.
Comportement de la liste d'autorisation par défaut
La liste d'autorisation default peut être modifiée ou vidée, mais pas supprimée.
Ajouter des adresses IP à une liste d'autorisation
Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où réside votre instance, puis cliquez sur l'ID de l'instance.
Dans le volet de navigation de gauche, cliquez sur Whitelist and SecGroup.
-
Sous l'onglet Whitelist Settings, cliquez sur Modify à côté de la liste d'autorisation default.
Pour créer une liste d'autorisation distincte au lieu de modifier celle par défaut, cliquez sur Create Whitelist .
-
Dans la boîte de dialogue Edit Whitelist, saisissez les adresses IP ou les blocs CIDR à autoriser, puis cliquez sur OK.
Séparez plusieurs entrées par des virgules sans espaces. Exemple :
192.168.0.1,172.16.213.9. Après l'enregistrement, l'espace réservé127.0.0.1est automatiquement supprimé de la liste d'autorisation default. Pour ajouter des adresses IP d'instances ECS, cliquez sur Add Internal IP Addresses of ECS Instances pour les parcourir et les sélectionner depuis votre compte.
Les modifications prennent effet en environ 1 minute.
Dépannage
L'onglet Whitelist Settings affiche uniquement 127.0.0.1
L'instance n'accepte aucune connexion. Ajoutez les adresses IP de vos machines clientes à la liste d'autorisation default ou créez-en une nouvelle.
Une liste d'autorisation contient uniquement 0.0.0.0
L'entrée 0.0.0.0 (sans /0) n'accorde pas l'accès à tous les appareils. Pour ouvrir l'instance à toutes les adresses IP, ajoutez 0.0.0.0/0.
Si vous souhaitez autoriser tous les appareils à accéder à l'instance RDS, vous devez ajouter l'entrée 0.0.0.0/0 à une liste d'autorisation d'adresses IP de l'instance RDS. Procédez avec prudence.
La connexion échoue toujours après avoir ajouté la bonne adresse IP
L'adresse IP que vous avez ajoutée peut ne pas correspondre à votre adresse IP de sortie réelle. Deux causes courantes :
Votre fournisseur d'accès Internet attribue une adresse IP publique dynamique qui change au fil du temps.
L'outil ou le site Web que vous avez utilisé pour rechercher votre adresse IP a renvoyé un résultat inexact.
Pour plus d'informations, consultez Pourquoi ne puis-je pas me connecter à mon instance RDS depuis un serveur local via Internet ?
FAQ
La liste d'autorisation prend-elle effet immédiatement après l'enregistrement ?
Non. Les modifications mettent environ 1 minute à se propager.
Je vois des listes d'autorisation que je n'ai pas créées. Est-ce normal ?
Oui. Si ces listes d'autorisation contiennent des adresses IP privées, elles ont été créées automatiquement par des services Alibaba Cloud tels que DMS et DAS. Elles n'affectent pas vos données et ne nécessitent aucune action.
Mon instance est-elle exposée à des risques si je désactive l'accès Internet et n'utilise que l'accès au réseau interne ?
Oui. L'accès au réseau interne seul n'isole pas complètement votre instance. Pour une sécurité renforcée, maintenez votre instance dans un VPC. Seules les instances Elastic Compute Service (ECS) situées dans le même VPC peuvent se connecter, et uniquement si leurs adresses IP figurent dans une liste d'autorisation.