Identity as a Service:ネットワークアクセスエンドポイント

概要

ネットワークアクセスエンドポイントは、IDaaS EIAM インスタンスにネットワーク接続を提供します。エンドポイントは、Dedicated Network Access Endpoint と Shared Network Access Endpoint に分類されます。Dedicated Network Access Endpoint は使用前に購入する必要がありますが (専用ネットワークアクセスエンドポイントの課金)、Shared Network Access Endpoint は無料です。

専用エンドポイントの追加

Network Access Endpoint タブで、次の手順を実行します。

1. サービスリンクロール (SLR) の作成

   Network Access Endpoint ページにアクセスするか、Add Dedicated Endpoint をクリックしたときに、サービスリンクロールが存在しない場合は、IDaaS EIAM サービスリンクロールを作成する必要があります。 この操作を実行できるのは、AliyunIDaaSEiamFullAccess 権限を持つ Alibaba Cloud アカウントまたは RAM ユーザーのみです。

   表示されるダイアログボックスで、ロール名が AliyunServiceRoleForEiam で、承認ポリシーが AliyunServiceRolePolicyForEiam であることを確認し、[Confirm Create] をクリックします。

2. インスタンスのアップグレードまたはスケールアップ

   インスタンスの既存のDedicated Network Access Endpointの数がDedicated Network Access Endpointのクォータ未満の場合にのみ、Dedicated Network Access Endpointを作成できます。Dedicated Network Access Endpointのクォータは別途購入する必要があります。

   1. 無料またはトライアルインスタンスの場合、インスタンスをアップグレードして、購入ページでDedicated Network Access Endpointのクォータを購入してください。

   2. エンタープライズインスタンスの場合、インスタンスをスケールアップし、購入ページで Dedicated Network Access Endpoint のクォータを購入します。

   説明

   各 IDaaS EIAM インスタンスは、最大 1 つの Dedicated Network Access Endpoint をサポートします。

3. リソースの選択

   1. Add Dedicated Endpoint をクリックし、以下のパラメーターを設定します。

      • [Display Name]: Dedicated Network Access Endpoint の表示名です。この名前はコンソールにのみ表示されます。

      • [Select Region]: 接続する VPC が存在するリージョンです。

      • [Select VPC]: 選択したリージョン内の VPC です。AD、LDAP、またはアプリケーションなどのサービスへのプライベートネットワークアクセスが必要な場合は、これらのサービスが存在する VPC、またはこれらのサービスにアクセスできる VPC を選択します。

      • [Select vSwitch]: 選択した VPC 内の vSwitch です。vSwitch には 3 つ以上の利用可能な IP アドレスが必要で、CIDR ブロック 100.64.0.0/10 は使用できません。最大 2 つの vSwitch を選択できます。

      重要

      • Dedicated Network Access Endpoint を追加すると、そのリージョン、VPC、または vSwitch は変更できなくなります。続行する前に設定を確認してください。

      • フォールトトレランスを向上させるために、異なるアベイラビリティーゾーンにある 2 つの vSwitch を選択することを強く推奨します。

   2. 設定を確認した後、Confirm をクリックして Dedicated Network Access Endpoint の追加を開始します。

      エンドポイントの作成後、Dedicated Network Access Endpoint を使用するには、以下の設定を完了する必要があります：

      1. 専用プライベートネットワークアクセスを有効にするには、「プライベートネットワークアクセスの承認」をご参照ください。

      2. 専用パブリックネットワークアクセスを有効にするには、「専用パブリック出力 IP アドレスの設定」をご参照ください。

プライベートネットワークアクセスの承認

1. Network Access Endpoint タブで、目的の Dedicated Network Access Endpoint を見つけ、「操作」列の Authorize Private Network Access をクリックします。

2. アクセスルールの取得。 Authorize Private Network Access ダイアログボックスで、承認オブジェクトをコピーします。 承認オブジェクトは、現在の Dedicated Network Access Endpoint のすべての専用プライベートエグレス IP アドレスのコレクションです。

3. セキュリティグループアクセスルールを設定します。 Add をクリックして、Elastic Compute Service (ECS) > Security Group ページに移動します。 このページで、プライベートネットワークアクセスを必要とするサービスを含むセキュリティグループを選択します。

   説明

   AD の場合は、IDaaS EIAM によって作成されたセキュリティグループではなく、AD ドメインサーバーを含むセキュリティグループを選択します。さまざまなネットワークトポロジーでサポートされている設定の詳細については、「専用プライベートネットワークアクセス」をご参照ください。

   1. セキュリティグループ ID/名前をクリックして Add に移動します。セキュリティグループの詳細 > Inbound タブで、Manually Add をクリックします。

   2. 新しいアクセスルールで、次のパラメーターを設定してルールを保存します。

      • アクション：許可。

      • 優先度：1。

      • プロトコルタイプ：カスタム TCP。

      • ポート範囲：サービスのポート範囲を入力します。AD または LDAP の場合は、ポート 389 または 636 を使用します。

      • 承認オブジェクト：前の手順でコピーした専用プライベート出力 IP アドレス。

専用パブリック出力 IP の設定

インターネット NAT ゲートウェイを設定して、お客様が所有するパブリック IP アドレスを介して IDaaS EIAM インスタンスがインターネットにアクセスできるようにします。このパブリック IP アドレスを WeCom の信頼できる IP のリストに追加して、その検証要件を満たすことができます。

1. VPC リージョンの表示

   Network Access Endpoint タブで、目的の Dedicated Network Access Endpoint を見つけ、その VPC Region を確認します。

2. Elastic IP アドレスの関連付け

   1. VPC - Internet NAT Gateway コンソールに移動します。 VPC と同じリージョンで、インターネット NAT ゲートウェイを選択し、今すぐ関連付ける をクリックして EIP の関連付けを開始します。

      利用可能なインターネット NAT ゲートウェイがない場合は、まず作成します。詳細については、「インターネット NAT ゲートウェイの作成」をご参照ください。

   2. 既存の EIP を選択するか、新しい EIP を購入して関連付けることができます。

   3. 関連付けが成功したら、Internet NAT Gateway ページに移動し、Instance ID/Name をクリックします。

      インスタンスの SNAT エントリが存在しない場合は、専用ネットワークアクセスエンドポイントのパブリックネットワークアクセスを有効にするために作成する必要があります。詳細については、「SNAT エントリの作成と管理」をご参照ください。

      警告

      SNAT エントリが設定されていない場合、専用ネットワークアクセスエンドポイントはインターネットにアクセスできません。

3. Network Access Endpoint タブで、Dedicated Outbound Public IP Address 列の View をクリックして、Dedicated Network Access Endpoint で使用されるパブリック IP アドレスを確認します。

専用エンドポイントへの切り替え

1. IdPs ページに移動します。たとえば AD ID プロバイダーなど、目的の IdPs を見つけ、[操作] 列で Modify をクリックして基本設定を編集します。

2. Dedicated Network Access Endpointを設定します。 Network Configurations > Network Access Endpoint セクション：

   1. Dedicated Network Access Endpoint タイプを選択します。

   2. ドロップダウンリストから、関連付けられたDedicated Outbound Public IP Address を持つエンドポイントを選択します。 IP アドレスは、ENI またはインターネット NAT ゲートウェイから取得できます。

3. 送信の検証。 Confirm をクリックすると、システムはただちに検証を実行します：

   1. 検証要件：関連付けられたすべての ENI (最大 2 つ) が AD サービスに正常にアクセスできる必要があります。

   2. 検証に成功した場合、システムは自動的にDedicated Network Access Endpointに切り替わります。

   3. 検証に失敗した場合：エラーメッセージが表示されます。ネットワーク接続を確認してください。

使用中のゲートウェイ IP を表示するには、専用パブリック出力 IP の [View] をクリックします。

変更: [Dedicated Network Access Endpoint]

Dedicated Network Access EndpointのDisplay Nameのみ変更できます。他の設定を変更するには、エンドポイントを削除して新しく作成する必要があります。