Identity as a Service:ネットワークアクセスエンドポイント

概要

IDaaS EIAM インスタンスは、ネットワークアクセスエンドポイントを介してネットワークにアクセスします。ネットワークアクセスエンドポイントは、専用エンドポイント と 共有エンドポイント に分かれています。専用エンドポイント は購入後にのみ使用できますが (専用エンドポイントの課金)、共有エンドポイント は無料で使用できます。

専用エンドポイントの追加

ネットワークエンドポイント タブで、次の手順を実行します。

1. サービスリンクロールの作成

   ネットワークエンドポイント ページにアクセスするか、専用エンドポイントの追加 をクリックしたときに、サービスにリンクされたロールが存在しない場合は、まず IDaaS EIAM サービスにリンクされたロール を作成する必要があります。この操作は、AliyunIDaaSEiamFullAccess 権限を持つ Alibaba Cloud アカウントまたは Alibaba Cloud ユーザーのみが実行できます。

   ダイアログボックスで、ロール名が AliyunServiceRoleForEiam で、ロール承認ポリシーが AliyunServiceRolePolicyForEiam であることを確認し、[Confirm Create] をクリックします。

2. インスタンスのアップグレードまたはスケールアップ

   専用エンドポイント を作成するには、お使いのインスタンスの既存の 専用エンドポイント の数が 専用エンドポイント のクォータ未満である必要があります。専用エンドポイント のクォータは別途購入する必要があります。

   1. 無料版またはトライアルインスタンスの場合は、インスタンスをアップグレードし、購入ページで専用エンドポイントの数量を購入してください。

   2. エンタープライズ版インスタンスの場合、インスタンス構成をアップグレードし、購入ページで専用エンドポイントの数量を購入します。

   説明

   現在、各 EIAM インスタンスは最大 1 つの専用エンドポイントをサポートしています。

3. リソースの選択

   1. 専用エンドポイントの追加 をクリックして、必要な情報を設定します。

      • [表示名]：コンソールにのみ表示される、専用エンドポイント の表示名です。

      • [リージョン]: 接続する VPC のリージョンです。

      • [VPCの選択]: 現在のリージョン内の VPC です。 AD、LDAP、アプリケーションなどのサービスへのプライベートネットワークアクセスが必要な場合は、これらのサービスが配置されているか、またはアクセス可能な VPC を選択します。

      • [vSwitch の選択]: 現在の VPC 内の vSwitch です。選択する vSwitch は、利用可能な IP アドレス数が 2 より大きく、かつ 33.x.x.x CIDR ブロックを使用していない必要があります。最大 2 つの vSwitch を選択できます。

      重要

      • 専用エンドポイントを追加した後、リージョン、VPC、vSwitch などの情報は変更できません。送信する前に設定を確認してください。

      • (強く推奨) 災害復旧を強化するため、異なるゾーンにある 2 つの vSwitch を選択することを強く推奨します。

   2. 設定が正しいことを確認した後、OK をクリックして 専用エンドポイント の追加を開始します。

      エンドポイントを追加した後、専用エンドポイント を使用するには、以下の設定も完了する必要があります：

      1. 専用プライベートネットワークアクセスを有効にするには、「プライベートネットワークアクセスの承認」をご参照ください。

      2. 専用パブリックネットワークアクセスを有効にするには、「専用パブリックエグレス IP アドレスの設定」をご参照ください。

プライベートネットワークアクセスの承認

1. ネットワークエンドポイント タブで、対象の 専用エンドポイント を見つけ、プライベートアクセスの権限付与 をクリックします。

2. アクセスルールを取得します。プライベートアクセスの権限付与 ダイアログボックスで、[承認オブジェクト] をコピーします。[承認オブジェクト] は、現在の 専用エンドポイント のすべての専用プライベートアウトバウンド IP アドレスを集約します。

3. セキュリティグループのアクセスルールを設定します。 追加へ をクリックして Elastic Compute Service (ECS) > Security Group に移動し、プライベートネットワークアクセスを必要とするサービスが属するセキュリティグループを選択します。

   説明

   AD を例にとると、EIAM によって作成されたセキュリティグループではなく、AD ドメインサーバーがある独自のセキュリティグループを選択する必要があります (さまざまなネットワークプランでサポートされるアプローチについては、「専用プライベートネットワークアクセス」をご参照ください)。

   1. [セキュリティグループ ID/名前] をクリックして 追加へ に移動します。セキュリティグループの詳細 > インバウンド タブで、手動追加 をクリックします。

   2. 新しく追加されたアクセスルールで、次の設定を構成し、ルールを保存します。

      • アクション：許可

      • 優先度：1

      • プロトコルタイプ：カスタム TCP

      • ポート範囲：サービスのポート範囲を入力します。AD または LDAP に接続する場合、通常、ポート 389 または 636 が使用されます。

      • 承認オブジェクト：前の手順でコピーした専用プライベートエグレス IP アドレスです。

専用パブリックエグレス IP アドレスの設定

インターネット NAT ゲートウェイを設定することで、EIAM インスタンスが指定した IP アドレスを介してインターネットにアクセスできるようになります。このパブリック IP アドレスを WeCom の信頼できる IP アドレスとして使用して、関連する WeCom の検証要件を満たすことができます。

1. 専用ネットワークリージョンの表示

   ネットワークエンドポイント タブで、対象の 専用エンドポイント を探し、その VPC リージョン を確認します。

2. EIP の関連付け

   1. VPC - インターネット NAT ゲートウェイで、VPC と同じリージョンにあるインターネット NAT ゲートウェイを選択し、EIP の 今すぐ関連付ける をクリックして関連付けプロセスを開始します。

      利用可能なリソースがない場合は、事前にインターネット NAT ゲートウェイを作成します。詳細については、「インターネット NAT ゲートウェイの作成」をご参照ください。

   2. 既存の EIP を選択するか、新しい EIP を購入して関連付けることができます。

   3. EIP が関連付けられた後、インターネット NAT ゲートウェイ ページに移動し、インスタンス ID/名前 をクリックします。

      お使いのインスタンスに SNAT エントリがない場合は、「SNAT エントリの作成と管理」をご参照ください。その後、専用エンドポイントはパブリックネットワークアクセスをサポートするようになります。

      警告

      SNAT エントリが設定されていない場合、専用エンドポイントはインターネットにアクセスできません。

3. ネットワークエンドポイント タブの 専用パブリック出口 IP 列で、詳細を見る をクリックすると、現在の 専用エンドポイント で使用されているパブリック IP アドレスが表示されます。

専用エンドポイントアクセスへの切り替え

1. ID プロバイダー ページに移動し、対象の ID プロバイダー を見つけ、編集 をクリックして基本設定を変更します (ここでは AD を例に説明します)。

2. 専用エンドポイントを設定します。 ネットワーク構成 > ネットワークエンドポイント セクションにあります。

   1. 専用エンドポイント タイプを選択します。

   2. ドロップダウンリストから、専用パブリックエグレス IP に関連付けられているエンドポイントを選択します。(ENI とインターネット NAT ゲートウェイ IP アドレスの両方がサポートされています)。

3. 検証のために送信。 OK をクリックすると、システムは直ちに以下の項目を検証します：

   1. 検証要件：関連付けられているすべての ENI (最大 2 つ) が AD サービスにアクセスできる必要があります。

   2. 検証に合格すると、自動的に 専用エンドポイント に切り替わります。

   3. 検証に失敗した場合：エラーメッセージが表示され、ネットワーク接続を確認する必要があります。

専用パブリックエグレス IP アドレスの [View] をクリックすると、使用中のゲートウェイ IP アドレスを確認できます。

変更: [専用エンドポイント]

専用エンドポイント では 表示名 のみ変更できます。その他の情報を変更するには、削除して再設定する必要があります。