デフォルトでは、Service Mesh (ASM) インスタンスのコントロールプレーンは、その仮想プライベートクラウド (VPC) 内からのみアクセス可能です。データプレーンクラスターが ASM インスタンスと異なる VPC で実行されており、かつプライベート接続が確立されていない場合、データプレーンがインターネット経由でコントロールプレーンに到達できるよう、コントロールプレーンに Elastic IP Address (EIP) を関連付けます。
EIP を関連付けると、コントロールプレーンがパブリックインターネットに公開されます。作業を開始する前に、プライベート接続オプションを検討してください。EIP を使用する必要がある場合は、セキュリティグループルールでアクセスを制限し、信頼されたソース IP アドレスからのみのトラフィックを許可します。
EIP を関連付けるタイミング
| シナリオ | 操作 |
|---|---|
| データプレーンクラスターが ASM インスタンスと同じ VPC 内にある | 操作不要です。クラスターはプライベートネットワーク経由で接続されます。 |
| データプレーンクラスターがプライベート接続済みの異なる VPC 内にある | 操作不要です。既にプライベート接続が確立されています。 |
| データプレーンクラスターがプライベート接続なしの異なる VPC 内にある | コントロールプレーンに EIP を関連付けます。 |
| コントロールプレーンがインターネットへの公開を不要とするようになった | EIP を関連付け解除します。 |
前提条件
開始する前に、以下の条件を満たしていることを確認してください。
ASM インスタンス
ASM インスタンスと同じリージョンに未使用の EIP が存在すること、または新規作成可能であること
ASM インスタンスおよび EIP リソースを管理する権限が付与されていること
ASM コンソールでの EIP の関連付けまたは関連付け解除
EIP の関連付けまたは置き換え
ASM インスタンス一覧から、対象のインスタンス名をクリックします。
左側のナビゲーションウィンドウで、[ASM インスタンス] ＞ [基本情報] を選択します。
[基本情報] セクション内より、[Istio Pilot エンドポイント] を見つけ、[EIP のバインド] をクリックします。すでに EIP が関連付けられている場合は、代わりに [EIP の置き換え] をクリックします。
[EIP のバインド] ダイアログボックスで、[既存の EIP の選択] ドロップダウンリストから未使用の EIP を選択し、[OK] をクリックします。
EIP の関連付け解除
ASM インスタンス一覧から、対象のインスタンス名をクリックします。
左側のナビゲーションウィンドウで、[ASM インスタンス] ＞ [基本情報] を選択します。
[基本情報] セクション内より、[Istio Pilot エンドポイント] を見つけ、[EIP のバインド解除] をクリックします。
[EIP のバインド解除] ダイアログボックスで、[OK] をクリックします。
API オペレーション呼び出しによる EIP の関連付けまたは関連付け解除
OpenAPI Explorer を通じて、ModifyPilotEipResource API オペレーションを使用します。
EIP の関連付けまたは置き換え
未使用の EIP がない場合は、事前に作成します。詳細については、「EIP の申請」をご参照ください。
以下のパラメーターを指定して
ModifyPilotEipResourceを呼び出します。説明コントロールプレーンに既に EIP が関連付けられている場合、既存の EIP は自動的に関連付け解除され、
EipIdで指定した EIP に置き換えられます。パラメーター 値 ServiceMeshId ASM インスタンスの ID Operation BindEip EipId EIP の ID
EIP の関連付け解除
以下のパラメーターを指定して ModifyPilotEipResource を呼び出します。
| パラメーター | 値 |
|---|---|
| ServiceMeshId | ASM インスタンスの ID |
| Operation | UnBindEip |
| EipId | このパラメーターは指定しないでください |
結果の確認
EIP を関連付けまたは関連付けの解除をした後：
ASM コンソールで、[ASM インスタンス] ＞ [基本情報] へ移動します。
[基本情報] セクション内の [Istio Pilot エンドポイント] の値を確認します。
関連付け後：エンドポイントに EIP アドレスが表示されます。
関連付け解除後：エンドポイントにパブリック IP アドレスは表示されません。
セキュリティに関する推奨事項
プライベート接続を優先してください。 可能な限り、パブリック EIP ではなくプライベートネットワーク接続オプションをご利用ください。プライベート接続はセキュリティ性が高く、レイテンシーも低くなります。
アクセスを制限してください。 セキュリティグループルールを設定し、信頼されたソース IP アドレスからのみのインバウンドトラフィックを許可します。
エンドポイントを監視してください。 定期的に、EIP 経由でコントロールプレーンに接続しているクラスターが予期されたもののみであることを確認します。
不要になったら直ちに EIP を関連付け解除してください。 プライベート接続が確立された場合、またはリモートクラスターの廃止が完了した時点で、速やかにコントロールプレーンから EIP を削除します。