Gunakan AlbConfig untuk mengonfigurasi security group - Container Service for Kubernetes

Sambungkan security group ke instans ALB melalui AlbConfig untuk mengelola traffic ALB secara aman, dilengkapi kebijakan keamanan terkait dan panduan konfigurasi.

Prasyarat

Pastikan Anda telah:

Catatan

Jika Anda menggunakan cluster khusus ACK dengan ALB Ingress, otorisasi kluster untuk mengakses add-on ALB Ingress Controller sebelum men-deploy layanan.

Tambahkan security group ke AlbConfig

Langkah 1: Dapatkan ID security group

Masuk ke Konsol ECS.
Pada panel navigasi kiri, pilih Network & Security > Security Groups.
Pada bilah navigasi atas, pilih resource group dan wilayah.
Salin ID security group.

Langkah 2: Tambahkan security group ke AlbConfig

Tambahkan bidang securityGroupIds di bawah spec.config dalam manifes AlbConfig Anda. Tentukan ID security group berdasarkan kuota dan jenis security group Anda.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: alb
spec:
  config:
    name: alb-test
    addressType: Intranet
    zoneMappings:
    - vSwitchId: vsw-uf6k2yoy*************
    - vSwitchId: vsw-uf6pv7wg*************
    securityGroupIds:                        # ID security group
      - sg-uf6blkp8************             # Security group pertama
      - sg-djladhla************             # Security group kedua
    addressAllocatedMode: Fixed
  listeners:
    - port: 80
      protocol: HTTP

Field	Type	Description
`securityGroupIds`	String array	ID security group yang akan disambungkan ke instans ALB. Harus berada dalam VPC yang sama dan memiliki jenis yang sama (semuanya basic atau semuanya advanced).

Terapkan AlbConfig:

kubectl apply -f albconfig.yaml

Langkah 3: Verifikasi konfigurasi

Periksa AlbConfig:

kubectl get albconfig alb -o yaml

Verifikasi bahwa output mencantumkan ID security group di bawah spec.config.securityGroupIds.

Batasan dan perilaku

Persyaratan instans ALB

Penting

Instans ALB yang telah ditingkatkan mendukung baik security group maupun ACL. Instans yang belum ditingkatkan hanya mendukung ACL. Instans baru secara default sudah ditingkatkan. Untuk meningkatkan instans yang ada, hubungi account manager Anda.

Eksklusivitas mutual antara security group dan ACL

Security group dan ACL tidak dapat digunakan bersamaan pada instans ALB yang sama. Untuk beralih di antara keduanya:

Hapus konfigurasi saat ini (security group atau ACL) dari AlbConfig.
Simpan AlbConfig dan tunggu hingga perubahan diterapkan.
Tambahkan konfigurasi baru.

Jenis security group yang didukung

ALB mendukung basic security groups dan advanced security groups. Managed security groups tidak didukung. Lihat Basic security groups and advanced security groups.

Constraint	Description
Same VPC	Security group dan instans ALB harus berada dalam VPC yang sama.
Same type	Semua security group pada satu instans ALB harus memiliki jenis yang sama. Untuk mengganti jenis, lepaskan instans dari semua security group yang ada terlebih dahulu.
Quota: security groups	Maksimum security group per instans ALB = Kuota security group untuk semua instans Elastic Compute Service (ECS) atau elastic network interfaces (ENIs) backend dikurangi 1 (disediakan untuk managed security group).
Quota: rules	Maksimum aturan efektif per instans ALB = Kuota aturan security group untuk semua instans ECS atau ENIs backend dikurangi jumlah aturan dalam managed security group ALB.

Perilaku pembaruan

Saat Anda memodifikasi daftar securityGroupIds, controller akan mengikat security group baru sebelum melepas security group yang dihapus. Misalnya, mengubah dari sg-1, sg-2, sg-3 menjadi sg-3, sg-4, sg-5 akan menambahkan sg-4 dan sg-5 sebelum menghapus sg-1 dan sg-2.

Batasi jumlah perubahan per pembaruan agar tetap dalam kuota.

Perilaku traffic default

Setelah instans ALB bergabung ke security group tanpa aturan Deny, semua port listener secara default mengizinkan seluruh traffic. Untuk membatasi akses hanya ke alamat IP tertentu, tambahkan aturan Deny. Jangan konfigurasi aturan Deny arah keluar (outbound) dalam security group untuk instans ALB agar tidak menyebabkan gangguan layanan. Lihat Scenarios.

Konektivitas layanan backend

Konfigurasikan kebijakan keamanan untuk node, ENI, dan Pod di kluster ACK agar mengizinkan traffic ALB. Dalam aturan security group backend, izinkan Blok CIDR dari vSwitch instans ALB untuk menjaga konektivitas layanan.