API サーバーのアクセス制御ポリシーの設定 - Container Service for Kubernetes

Container Service for Kubernetes (ACK) クラスターを作成すると、クラスターの API サーバーの内部エンドポイントとして、プライベートなクラシックロードバランサー (CLB) インスタンスが自動的に作成されます。プライベート CLB インスタンスのポート 6443 のリスナーにアクセス制御ルールとしてホワイトリストまたはブラックリストを設定し、API サーバーへの不正アクセスを防止します。

プライベート CLB インスタンスに Elastic IP Address (EIP) を関連付けると、パブリックエンドポイントが作成され、インターネットから API サーバーにアクセスできるようになります。

重要

パブリックエンドポイントと内部エンドポイントは同じプライベート CLB インスタンスを共有するため、インスタンスに設定されたアクセス制御ルールは両方のエンドポイントに適用されます。

Server Load Balancer (SLB) は、リスナーレベルのアクセス制御を提供します。アクセス制御は、リスナーの作成時に設定でき、リスナーの作成後に変更または再設定することも可能です。

操作手順

異なるリスナーに対してホワイトリストまたはブラックリストを設定し、特定の IP アドレスからのアクセスのみを許可したり、特定の IP アドレスからのアクセスをブロックしたりします。

ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。
クラスターリスト ページで、対象クラスターの名前をクリックします。左側のナビゲーションウィンドウで、クラスター情報 をクリックします。
クラスター情報 ページで、基本情報 タブをクリックします。ネットワーク セクションで イントラネットエンドポイント を探し、右側の アクセス制御の設定 をクリックします。アクセス制御ポリシーで許可する必要がある CIDR ブロックに関するプロンプトをよく読み、OK をクリックします。
SLB コンソールで開いたパネルで、アクセス制御の有効化 を有効にし、アクセス制御メソッドとアクセス制御ポリシーグループを選択してから、OK をクリックします。

アクセス制御を有効にする前に、「ACL の作成」で説明されているタスクを完了する必要があります。
重要
アクセス制御ポリシーを設定する際は、指定した IP アドレスが API サーバーにアクセスできることを確認してください。クラスターのコントロールプレーンコンポーネントとコンソール関連サービスの CIDR ブロックも API サーバーにアクセスできる必要があります。したがって、次の CIDR ブロックをホワイトリストに追加する必要があります。これらの CIDR ブロックをブラックリストに追加しないでください。追加した場合、クラスターの機能や管理操作が期待どおりに動作しない可能性があります。
- Container Service for Kubernetes のコントロールプレーンの CIDR ブロック： 100.104.0.0/16。
- クラスターの Virtual Private Cloud (VPC) のプライマリ CIDR ブロックとセカンダリ CIDR ブロック、またはクラスターノードが存在する vSwitch の CIDR ブロック。
- API サーバーのエンドポイントにアクセスする必要があるクライアントのエグレス CIDR ブロック。
- 上記の CIDR ブロックに加えて、ACK Edge クラスターの場合は、エッジノードのエグレス CIDR ブロックも許可する必要があります。
- 上記の CIDR ブロックに加えて、ACK Lingjun クラスターの場合は、Lingjun Virtual Private Datacenter (VPD) の CIDR ブロックも許可する必要があります。