Container Service for Kubernetes:AlbConfig を使用した ACL ベースのアクセス制御の設定

ステップ 1: ACL の作成

1. ALB コンソールにログインします。

2. 上部のナビゲーションバーで、リージョンを選択します。

3. 左側のナビゲーションウィンドウで、[ALB] > [アクセス制御] を選択します。

4. [アクセス制御] ページで、[アクセス制御リストの作成] をクリックします。

5. [ACL の作成] ダイアログボックスで、パラメーターを設定し、[OK] をクリックします。

   パラメーター	説明
   ACL 名	ACL の名前。
   タグキー / タグ値	[アクセス制御] ページで ACL をフィルターするためのタグ。
   リソースグループ	リソースグループを選択します。

ステップ 2: ACL へのエントリの追加

ACL エントリは、受信リクエストと照合するソース IP アドレスまたは CIDR ブロックを指定します。

1. [アクセス制御] ページで対象の ACL を見つけ、[操作] 列の [管理] をクリックします。

2. ACL 詳細ページの [エントリ] タブで、エントリを追加します。

   • 単一エントリ：[エントリの追加] をクリックし、[IP/CIDR ブロック] と [備考] を設定してから、[追加] をクリックします。

   • 複数エントリ：[ACL エントリの追加] をクリックし、備考付きの CIDR ブロックを入力してから、[追加] をクリックします。

     • 1 行に 1 つのエントリを入力します。

     • 縦棒 (|) を使用して、IP/CIDR ブロックと備考を区切ります。例：192.168.1.0/24|Remarks。

     • 一度に最大 20 個のエントリを追加できます。

3. エントリを追加した後：

   • [エントリ] で CIDR ブロックを表示します。

   • [操作] 列からエントリを削除するか、複数のエントリを選択して [削除] をクリックします。

   • 右上の アイコンでエントリをエクスポートします。特定のエントリをエクスポートするには、それらを選択して アイコンをクリックします。

ステップ 3: ACL とリスナーの関連付け

AlbConfig に spec.listeners.aclConfig を追加し、aclIds に ACL ID を指定します。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
  #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White   # ホワイトリストモード
        aclIds:
          - acl-wtg***   # ご利用の ACL ID に置き換えてください
#...

aclConfig パラメーター：

ステップ 4: アクセス制御効果の検証

パブリック IP がホワイトリストのエントリに一致する (またはブラックリストのエントリに一致しない) クライアントからバックエンドサービスにアクセスします。

この例では、「ALB Ingress の概要」のリソースを使用します。

許可されている場合、クライアントはバックエンドサービスに到達します。

ステップ 5: (オプション) ACL とリスナーの関連付け解除

ACL の関連付けを解除するには、aclIds からその ID を削除するか、aclIds を null に設定します。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16   # acl-test から 172.10.XX.XX/16 を削除
        aclType: White
        aclName: "acl-test"
  #...

ACL 自体を削除するには、 ALB コンソール を使用します。ACL は AlbConfig からは削除できません。

ステップ 1: AlbConfig での ACL エントリの設定

AlbConfig の spec.listeners.aclConfig を追加または更新します。aclEntries に CIDR ブロックを指定し、オプションで aclName に名前を指定します。

aclName が設定されている場合、ACL はその名前を使用します。aclName が設定されていない場合、名前は acl-{albName}-{port} として自動生成されます。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16
          - 172.10.XX.XX/16
        aclType: White   # ホワイトリストモード
        aclName: "acl-test"   # acl-test という名前の ACL を作成します
  #...

aclConfig パラメーター：

ステップ 2: アクセス制御効果の検証

パブリック IP がホワイトリストのエントリに一致する (またはブラックリストのエントリに一致しない) クライアントからバックエンドサービスにアクセスします。

この例では、「ALB Ingress の概要」のリソースを使用します。

許可されている場合、クライアントはバックエンドサービスに到達します。

ステップ 3: (オプション) ACL エントリの削除

AlbConfig の aclEntries を更新します。コントローラーは変更を関連付けられた ACL に同期します。

この例では、acl-test から 172.10.XX.XX/16 を削除し、192.168.XX.XX/16 のみを保持します。すべてのエントリを削除するには、aclEntries を空のリストに設定します。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16   # 172.10.XX.XX/16 は acl-test から削除されます
        aclType: White
        aclName: "acl-test"
  #...

ACL 自体を削除するには、ALB コンソールを使用します。ACL は AlbConfig からは削除できません。