Smart Access Gateway:Accéder à OSS en interne avec SAG et CEN

Prérequis

• Un VPC est créé dans la région Chine (Shanghai). Créer et gérer un VPC.

• Une instance CEN est créée avec le VPC attaché. Créer une instance CEN, Créer un routeur de transit, et Créer une connexion VPC.

Contexte

Les services cloud sont des produits Alibaba Cloud qui utilisent le bloc CIDR 100.64.0.0/10, tels que OSS, SLS et DTS. Vous pouvez connecter les utilisateurs sur site via SAG et accéder à ces services via CEN.

OSS est un service de stockage cloud évolutif. L'accès au réseau interne entre les services Alibaba Cloud d'une même région est gratuit. Dans ce tutoriel, une entreprise dispose d'un VPC en Chine (Shanghai) et utilise OSS dans la même région pour stocker des données non sensibles. Les employés doivent accéder à ces données via le réseau interne ; l'entreprise utilise donc l'application SAG App pour les connecter à Alibaba Cloud.

Flux de travail

Étape 1 : Déployer et configurer OSS

Ce tutoriel déploie OSS depuis la console. Qu'est-ce qu'Object Storage Service ?.

1. Activez OSS. Activer OSS.

2. Créez un bucket.

   1. Connectez-vous à la console OSS.

   2. Dans le volet de navigation de gauche, cliquez sur Buckets, puis cliquez sur Create Bucket.

   3. Sur la page Create Bucket, configurez les paramètres du bucket, puis cliquez sur Create.

      Paramètres utilisés dans ce tutoriel. Créer un bucket.

      Parameter	Description
      Bucket name	Saisissez un nom de bucket. Le nom ne peut pas être modifié après la création. Dans cet exemple, shosstest est utilisé.
      Region	La région du bucket. Ne peut pas être modifiée après la création. Dans cet exemple, China (Shanghai) est sélectionné.
      Storage class	La classe de stockage du bucket. Dans cet exemple, Standard est sélectionné. Le stockage Standard offre un stockage d'objets haute performance pour un accès fréquent aux données, adapté aux réseaux sociaux, aux grands sites web et à l'analyse Big Data. Présentation des classes de stockage.
      Redundancy type	Le type de redondance des données pour le bucket. LRS Le stockage localement redondant (LRS) conserve plusieurs copies des données sur différents appareils au sein d'une seule zone de disponibilité, garantissant la durabilité et la disponibilité des données en cas de défaillance matérielle. ZRS Le stockage redondant inter-zones (ZRS) conserve les copies des données sur plusieurs zones de disponibilité dans la même région. Vos données restent accessibles si une zone de disponibilité tombe en panne. Important ZRS est pris en charge dans les régions Chine (Shenzhen), Chine (Pékin), Chine (Hangzhou), Chine (Shanghai), Chine (Hong Kong), Singapour et Indonésie (Jakarta). ZRS est plus coûteux que LRS et ne peut pas être désactivé une fois activé. Soyez prudent lorsque vous activez cette fonctionnalité. Dans cet exemple, LRS est sélectionné.
      ACL	La liste de contrôle d'accès (ACL) du bucket. Dans cet exemple, Private est sélectionné. Seul le propriétaire du bucket peut lire et écrire des objets. Les autres utilisateurs ne peuvent pas y accéder.
      Versioning	Indique s'il faut activer le versioning. Dans cet exemple, Enable est sélectionné. Le versioning conserve les objets écrasés ou supprimés sous forme de versions historiques, ce qui vous permet de restaurer n'importe quelle version précédente. Présentation du versioning.
      Encryption Method	Chiffrement côté serveur. Dans cet exemple, None est sélectionné.
      Real-time Log Query	Requête de journaux en temps réel pour OSS. Dans cet exemple, Disable est sélectionné.
      Scheduled backup	Si vous souhaitez sauvegarder vos données OSS selon un planning, activez cette fonctionnalité. Cloud Backup effectue une sauvegarde quotidienne et conserve les fichiers pendant une semaine. Dans cet exemple, Disable est sélectionné.

3. Téléchargez un objet.

   1. Dans le volet de navigation de gauche, cliquez sur Buckets . Dans la colonne Bucket Name , cliquez sur le nom du bucket cible.

   2. Dans le volet de navigation de gauche, choisissez Object Management > Objects.

   3. Cliquez sur Upload Object .

   4. Sur la page Upload Object, configurez les paramètres de téléchargement.

      • Upload To : Chemin de stockage après le téléchargement. Dans cet exemple, la valeur par défaut est utilisée.

      • Object ACL : Liste de contrôle d'accès (ACL) de l'objet. Valeur par défaut : Inherited from Bucket . Dans cet exemple, la valeur par défaut est utilisée.

      • Files to Upload : Sélectionnez les fichiers ou dossiers à télécharger. Cliquez sur Select Files ou Select Folders, ou faites glisser les fichiers dans cette zone. Pour supprimer un fichier, cliquez sur Remove.

   5. Cliquez sur Upload Object. Dans le panneau Task List , attendez la fin du téléchargement, puis fermez le panneau Task List .

4. Configurez les autorisations des objets.

   Pour des raisons de sécurité des données, les ressources OSS de ce tutoriel sont définies comme privées. Vous devez accorder des autorisations d'accès pour permettre à des utilisateurs spécifiques d'accéder à des ressources OSS spécifiques. Les étapes suivantes accordent une autorisation en lecture seule pour une image à tous les utilisateurs. Accorder des autorisations sur des ressources spécifiques à l'aide d'une politique de bucket.

   1. Dans le volet de navigation de gauche, cliquez sur Buckets . Dans la colonne Bucket Name , cliquez sur le nom du bucket cible.

   2. Dans le volet de navigation de gauche, choisissez Object Management > Objects.

   3. Cliquez sur Authorize .

   4. Sur la page Bucket Policy , cliquez sur Authorize .

   5. Dans le panneau Authorize , configurez les paramètres suivants et cliquez sur OK .

      • Applied To : Dans cet exemple, Specified Resource est sélectionné.

      • Resource Paths : Dans cet exemple, saisissez SHOSS.jpg .

      • Authorized User : Dans cet exemple, All Accounts (*) est sélectionné.

      • Authorized Operation : Dans cet exemple, Read-Only (excluding ListObject) est sélectionné.

Étape 2 : Connecter les clients à Alibaba Cloud

Achetez une instance SAG App, configurez le réseau et créez des comptes client sur la console SAG. Les clients sur site peuvent ensuite se connecter à Alibaba Cloud via le client SAG.

1. Achetez une instance SAG App.

   1. Connectez-vous à la console SAG.

   2. Dans le volet de navigation de gauche, choisissez Smart Access Gateway App > SAG App Instances.

   3. Sur la page Smart Access Gateway App, cliquez sur Create SAG App et configurez les paramètres suivants.

      • RegionRegion : Région où le client SAG est utilisé. Dans cet exemple, China (Shanghai) est sélectionné.

      • Number of monthly active terminalsNumber of Client Accounts : Nombre maximal de comptes client. Créez un compte pour chaque utilisateur. Dans cet exemple, la valeur par défaut de 10 est utilisée.

        Remarque

        Vous pouvez acheter 5 à 1 000 comptes client. Les comptes client sont facturés selon un modèle échelonné. Facturation des instances SAG App.

      • Data Plan Per Account : Transfert de données gratuit par compte et par mois. Non partageable et non reportable. Par défaut : 5 Go/mois.

      • Billing Method When Data Plan is Exhausted : Les dépassements après le forfait gratuit sont facturés selon le mode paiement à l'utilisation.

      • Subscription Period : Durée de l'abonnement au forfait de données pour chaque compte, mesurée en mois. Le renouvellement automatique est pris en charge. Dans cet exemple, la valeur par défaut de 1 Month est utilisée.

   4. Cliquez sur Buy Now, confirmez la commande et effectuez le paiement.

2. Configurez le réseau.

   Après l'achat, configurez le réseau SAG App en spécifiant un bloc CIDR privé et en le liant à une instance CCN.

   CCN est un composant clé de SAG. Après la liaison, les clients sur site associés à l'instance SAG peuvent accéder à Alibaba Cloud via l'instance CCN. Qu'est-ce que CCN ?.

   1. Sur la page Smart Access Gateway App, recherchez l'instance que vous avez créée et cliquez sur Quick Configuration dans la colonne Operation.

   2. Sur la page Quick Configuration, configurez le réseau.

      • CCN Instance ID/Name : Vous pouvez lier une instance CCN de deux manières. Dans cet exemple, Create CCN est sélectionné.

        • Existing CCN : Si vous disposez déjà d'une instance CCN, vous pouvez la sélectionner dans la liste déroulante.

        • Create CCN : Si vous ne disposez pas d'instance CCN, saisissez un nom. Le système crée automatiquement une instance CCN dans la région actuelle et la lie.

      • Optional:Standby and Active DNS : Ce paramètre est facultatif. Personnalisez les serveurs DNS principal et de secours pour l'instance SAG App. Le système pousse automatiquement la configuration vers les clients. Dans cet exemple, ce paramètre est laissé vide.

      • Private CIDR Block : Configurez le bloc CIDR privé pour les clients. Le système attribue une adresse IP issue de ce bloc à chaque connexion. Assurez-vous que les blocs CIDR ne se chevauchent pas. Dans cet exemple, 192.168.10.0/24 est utilisé.

3. Associez à une instance CEN.

   Lie l'instance CCN à CEN. Après la liaison, les clients sur site peuvent accéder au service cloud OSS via CEN.

   1. Cliquez sur Next: Associate with a CEN (optional) pour lier à une instance CEN.

   2. Vous pouvez lier à une instance CEN de deux manières. Ce tutoriel utilise une instance CEN existante pour permettre aux clients de communiquer avec les ressources cloud. Sélectionnez Existing CEN et choisissez votre instance CEN.

      • Existing CEN : Si vous disposez déjà d'une instance CEN, vous pouvez la sélectionner dans la liste déroulante.

      • Create CEN : Si vous ne disposez pas d'instance CEN, saisissez un nom. Le système crée automatiquement une instance CEN et la lie.

4. Créez des comptes client.

   Créez des comptes client. Les utilisateurs se connectent au client SAG avec ces identifiants pour accéder au réseau interne.

   1. Cliquez sur Next: Create a client account pour configurer les comptes client.

      • Username : Ce paramètre est facultatif.

        Remarque

        • Les noms d'utilisateur des comptes client au sein d'une même instance SAG App doivent être uniques.

        • Si vous fournissez uniquement une adresse e-mail, le système génère automatiquement un nom d'utilisateur et un mot de passe, en utilisant l'e-mail comme nom d'utilisateur.

      • Email Address : Ce paramètre est obligatoire. Adresse e-mail pour recevoir les informations du compte.

      • Static IP :

        • Si vous activez cette fonctionnalité, spécifiez une adresse IP pour le client. Le compte utilise toujours cette adresse IP pour accéder à Alibaba Cloud.

          Remarque

          L'adresse IP spécifiée doit se trouver dans le bloc CIDR privé.

        • Si vous désactivez cette fonctionnalité, le système attribue une adresse IP issue du bloc CIDR privé à chaque connexion.

      • Set Maximum Bandwidth : Bande passante maximale par compte. Dans cet exemple, la valeur par défaut est utilisée.

        Plage valide : 1 à 2 000 Kbps. Par défaut : 2 000 Kbps.

      • Set Password : Ce paramètre est facultatif. Définissez le mot de passe pour la connexion client.

   2. Cliquez sur Confirm Creation.

      Important

      • Si aucune connexion interrégionale n'existe, créez-en une entre le routeur de transit de la région du VPC et le routeur de transit de l'instance CCN. Créer une connexion interrégionale.

      • Si une connexion interrégionale existe déjà, passez à l'étape suivante.

5. Connectez le client à Alibaba Cloud.

   1. Après la configuration, cliquez sur Download Now pour télécharger et installer le client. Installer le client.

   2. Après l'installation, les employés se connectent avec leurs identifiants pour accéder au réseau interne. Se connecter au réseau interne.

   Après une connexion réussie, le statut du client indique que la Internal Network Connection est établie. La limite de bande passante est de 2,0 Mbps. Vous pouvez cliquer sur Disconnect pour mettre fin à la connexion.

Étape 3 : Configurer les routes vers OSS

Configurez les routes vers OSS sur la console CEN. Après configuration, CEN achemine le trafic du réseau associé à CCN vers OSS, permettant aux clients sur site d'accéder à OSS.

1. Connectez-vous à la console CEN.

2. Cliquez sur l'ID de l'instance CEN cible.

3. Dans l'onglet Basic Information > Transit Router, recherchez le routeur de transit situé dans la même région que le service cloud et cliquez sur son ID.

4. Sur la page de détails du routeur de transit, cliquez sur l'onglet Route Table.

5. Dans l'onglet Route Table, sélectionnez la table de routage cible dans la liste de gauche. Dans l'onglet Route Entry de la section Route Table Details, cliquez sur Add Route Entry.

6. Dans la boîte de dialogue Add Route Entry, configurez les paramètres suivants et cliquez sur OK.

   Parameter	Description
   Route Table	La table de routage actuelle est sélectionnée par défaut.
   Transit Router ID	L'instance de routeur de transit actuelle est sélectionnée par défaut.
   Name	Saisissez un nom pour l'entrée de routage.
   Destination CIDR	Saisissez l'adresse IP ou le bloc CIDR du service cloud. Par exemple, saisissez les blocs CIDR de service pour OSS dans la région Chine (Shanghai) : 100.98.35.0/24 100.98.110.0/24 100.98.169.0/24 100.118.102.0/24 Remarque Nous vous recommandons d'ajouter tous les blocs CIDR de service de la région à l'entrée de routage.
   Blackhole Route	Indique s'il faut configurer une route blackhole : Yes : Il s'agit d'une route blackhole. Tout le trafic correspondant à cette route est rejeté. No : Il ne s'agit pas d'une route blackhole. Vous devez spécifier un saut suivant pour la route. Dans ce tutoriel, sélectionnez No.
   Next Hop	Sélectionnez le saut suivant pour l'entrée de routage. Sélectionnez l'ID de connexion de l'instance VPC attachée au routeur de transit.
   Description	Saisissez une description pour l'entrée de routage.

Étape 4 : Tester la connexion

Après avoir effectué les étapes précédentes, les clients sur site peuvent se connecter au réseau interne via le client SAG et accéder aux ressources OSS.

Par exemple, dans un navigateur, utilisez l'URL interne https://shosstest.oss-cn-shanghai-internal.aliyuncs.com/SHOSS.jpg pour télécharger l'image SHOSS.jpg que vous avez téléchargée.

• Le format d'URL pour accéder à un fichier est : https://<bucket-name>.<vpc-endpoint>/<object-name>.

• Pour trouver l'endpoint VPC de votre région, consultez Accéder à OSS à l'aide des endpoints et des noms de domaine de bucket.