Par défaut, une nouvelle instance ApsaraDB RDS for SQL Server refuse les accès provenant de dispositifs externes. Pour des raisons de sécurité, vous devez configurer une liste d'autorisation d'adresses IP afin de n'autoriser l'accès qu'à partir d'adresses IP de confiance. Configurez et maintenez régulièrement cette liste dès la création de l'instance pour renforcer la sécurité. La configuration d'une liste d'autorisation d'adresses IP n'affecte pas le fonctionnement normal de l'instance RDS.
Pour configurer une liste d'autorisation d'adresses IP pour d'autres moteurs de base de données, consultez les rubriques suivantes :
Cas d'utilisation
Voici les scénarios courants nécessitant la configuration d'une liste d'autorisation d'adresses IP :
Après la création d'une instance RDS, ajoutez les adresses IP des dispositifs externes à la liste d'autorisation pour activer l'accès.
En cas d'échec de connexion à la base de données, vérifiez que la liste d'autorisation est correctement configurée.
Le tableau suivant décrit les configurations de liste d'autorisation selon les différents scénarios de connexion.
|
Scénario de connexion |
Type de réseau |
Configuration de la liste d'autorisation |
|
Connexion depuis une instance ECS vers une instance RDS |
Dans le même Virtual Private Cloud (VPC) (recommandé) |
Ajoutez l'adresse IP privée de l'instance ECS. |
|
Dans des VPC différents |
Les instances situées dans des VPC différents ne peuvent pas communiquer via le réseau interne. Déplacez les deux instances dans le même VPC, puis ajoutez l'adresse IP privée de l'instance ECS à la liste d'autorisation. |
|
|
Connexion depuis un conteneur d'un cluster ACK vers une instance RDS |
Dans le même Virtual Private Cloud (VPC) (recommandé) |
Consultez la page pod du cluster ACK cible pour obtenir l'adresse IP du pod et celle du nœud. |
|
Dans des VPC différents |
Les instances situées dans des VPC différents ne peuvent pas communiquer via le réseau interne. Déplacez les deux instances dans le même VPC, puis ajoutez l'adresse IP requise du cluster ACK à la liste d'autorisation.
|
|
|
Connexion depuis un hôte local vers une instance RDS |
S.O. |
Ajoutez l'adresse IP publique de l'hôte local à la liste d'autorisation. Remarque
L'application sur l'hôte local doit utiliser le point de terminaison public de l'instance RDS. |
Notes d'utilisation
Chaque instance prend en charge jusqu'à 50 groupes de listes d'autorisation d'adresses IP.
Le groupe de liste d'autorisation par défaut, nommé
default, ne peut pas être supprimé, mais il peut être vidé. L'entrée par défaut de ce groupe est 127.0.0.1, ce qui empêche tout dispositif externe d'accéder à l'instance RDS.-
Ne modifiez ni ne supprimez les groupes générés par le système, tels que ali_dms_group (le groupe de liste d'autorisation pour Data Management (DMS)) et hdm_security_ips (le groupe de liste d'autorisation pour DAS). Sinon, les services associés pourraient ne pas fonctionner comme prévu.
ImportantAfin d'éviter toute modification ou suppression accidentelle, le groupe de liste d'autorisation hdm_security_ips n'est pas visible pour les utilisateurs des instances créées après décembre 2020.
Procédure
Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où se trouve l'instance RDS. Localisez ensuite l'instance RDS et cliquez sur son ID.
-
Dans le volet de navigation de gauche, cliquez sur Whitelist and SecGroup.
Sur l'onglet Whitelist Settings, consultez le mode actuel de liste d'autorisation d'adresses IP.
RemarqueLes instances créées précédemment peuvent utiliser le mode de liste d'autorisation amélioré. Toutes les nouvelles instances utilisent le mode de liste d'autorisation standard.
-
Cliquez sur Create Whitelist, saisissez un Group Name, ajoutez les adresses IP du serveur d'application à la liste, puis cliquez sur OK.
RemarqueVous pouvez également cliquer sur Modify à droite du groupe default pour modifier les adresses IP de ce groupe.
Séparez plusieurs adresses IP par une virgule (,). N'ajoutez pas d'espace avant ou après la virgule. Exemple :
192.XXX.XXX.1,172.XXX.XXX.9.Une seule instance prend en charge un maximum de 1 000 adresses IP ou blocs CIDR. Si vous devez ajouter un grand nombre d'adresses IP, regroupez-les en blocs CIDR, par exemple 10.10.10.0/24.
-
Aucune considération supplémentaire n'est requise pour le mode de liste d'autorisation standard. Si l'instance utilise le mode de liste d'autorisation amélioré, tenez compte des points suivants :
Ajoutez les adresses IP publiques ou privées des instances ECS du réseau classique à un groupe de réseau classique.
Ajoutez les adresses IP privées des instances ECS d'un VPC à un groupe VPC.
(Facultatif) Dans la boîte de dialogue Create Whitelist, cliquez sur Add Internal IP Address of ECS Instance pour ajouter les adresses IP de toutes vos instances ECS à la liste. Dans la section IP Addresses in Group, sélectionnez les adresses IP souhaitées dans la liste Not Set. Cliquez ensuite sur la flèche droite (>) pour les déplacer vers la liste Set, puis cliquez sur OK.
Étapes suivantes
Annexe : Recherche des adresses IP des serveurs d'application
Identifiez votre scénario de connexion, obtenez l'adresse IP correcte et ajoutez-la à la liste d'autorisation d'adresses IP.
|
Scénario |
Adresse IP requise |
Méthode |
|
Lors d'une connexion via le réseau interne |
Adresse IP du conteneur ACK |
Consultez la page pod du cluster ACK cible pour obtenir l'adresse IP du pod et celle du nœud. |
|
Adresse IP privée d'une instance ECS |
|
|
|
Connexion depuis une instance ECS via le réseau public |
Adresse IP publique d'une instance ECS |
|
|
Connexion depuis un dispositif local |
Adresse IP publique du dispositif local |
Sur votre dispositif local, recherchez « mon adresse IP ». Remarque
Si l'adresse IP obtenue par cette méthode est imprécise, utilisez d'autres méthodes pour l'obtenir. |