Le VPC utilise un modèle de sécurité en couches pour protéger vos ressources cloud. Cette rubrique aborde l'isolation réseau, le contrôle du trafic au niveau des instances et des sous-réseaux, ainsi que la gestion des accès via les politiques RAM.
Fonctionnement de l'isolation réseau
Chaque VPC est un réseau privé logiquement isolé. Les VPC sont séparés les uns des autres grâce à une technologie de tunneling : chaque VPC reçoit un ID de tunnel unique et les paquets de données sont encapsulés avec cet ID avant d'être transmis sur le réseau physique entre les instances Elastic Compute Service (ECS) au sein du VPC. Comme les paquets provenant de différents VPC portent des IDs de tunnel distincts, les instances ECS situées dans des VPC différents ne peuvent pas communiquer entre elles par défaut.
Utilisez des VPC distincts pour isoler les charges de travail ayant des exigences de sécurité différentes, telles que les environnements de production et de développement, ou les différentes unités commerciales.
Fonctionnalités de contrôle du trafic
Le VPC propose quatre fonctionnalités pour contrôler le trafic à différents niveaux de votre réseau.
Groupe de sécurité ECS
Les groupes de sécurité agissent comme des pare-feu virtuels au niveau des instances. Ils assurent l'inspection stateful des paquets (SPI) et le filtrage des paquets, ce qui vous permet de définir des domaines de sécurité dans le cloud. Configurez des règles entrantes et sortantes pour contrôler le trafic vers une ou plusieurs instances ECS d'un groupe. Pour plus d'informations, consultez Présentation des groupes de sécurité.
Liste de contrôle d'accès réseau (ACL)
Les listes de contrôle d'accès réseau (ACL) opèrent au niveau du sous-réseau. Créez des règles d'ACL réseau et associez l'ACL à un vSwitch pour contrôler le trafic entrant et sortant de toutes les instances ECS de ce vSwitch. Pour plus d'informations, consultez Présentation des ACL réseau.
Journal de flux
Les journaux de flux capturent les métadonnées du trafic entrant et sortant d'une interface réseau élastique (ENI). Utilisez les journaux de flux pour auditer les règles de contrôle d'accès, surveiller l'activité réseau et résoudre les problèmes de connectivité. Pour plus d'informations, consultez Présentation des journaux de flux.
Mise en miroir du trafic
La mise en miroir du trafic copie les paquets transitant par une ENI et répondant à des conditions de filtre spécifiques, puis les transfère vers une ENI spécifiée ou une instance Classic Load Balancer (CLB) orientée vers l'intérieur. Utilisez la mise en miroir du trafic pour l'inspection du contenu, la surveillance des menaces et le dépannage réseau. Pour plus d'informations, consultez Présentation de la mise en miroir du trafic.
Gestion des accès avec les politiques RAM
Utilisez les politiques Resource Access Management (RAM) pour contrôler qui peut créer, consulter et modifier les ressources VPC. Accordez des autorisations à un utilisateur RAM, à un groupe d'utilisateurs ou à un rôle RAM.
Politiques intégrées
Attachez les politiques système suivantes pour accorder rapidement des autorisations VPC standard.
| Politique | Description |
|---|---|
| AliyunVPCFullAccess | Accorde à un utilisateur RAM les autorisations de gestion des VPC |
| AliyunVPCReadOnlyAccess | Accorde à un utilisateur RAM les autorisations en lecture seule sur les VPC |
Pour obtenir la liste complète des autorisations VPC, consultez Autorisation RAM (VPC). Pour les autorisations liées aux connexions d'appairage VPC, consultez Autorisation RAM (connexion d'appairage VPC).
Politiques personnalisées
Si les politiques intégrées ne répondent pas à vos besoins, créez une politique RAM personnalisée pour définir un ensemble d'autorisations plus granulaire. Pour obtenir des conseils, consultez Utiliser des rôles RAM pour gérer les autorisations VPC.