ApsaraDB for MongoDB インスタンスのホワイトリストの設定 - ApsaraDB for MongoDB

セキュリティと安定性を確保するため、ApsaraDB for MongoDB はデフォルトでアクセスを制限しています。デフォルトのホワイトリストには 127.0.0.1 のみが含まれています。インスタンスを使用する前に、外部接続を許可するようホワイトリストを設定する必要があります。適切に設定されたホワイトリストは、インスタンスのセキュリティを強化します。ホワイトリストは定期的にメンテナンスすることを推奨します。

背景情報

インスタンスを初めて使用する前に、ホワイトリストグループを追加する必要があります。
ホワイトリストを設定すると、インスタンスのエンドポイントが 基本情報 ページおよび データベース接続 ページに表示されます。

操作手順

ApsaraDB for MongoDB コンソールにログイン。
インスタンスタイプに応じて、左側のナビゲーションウィンドウで レプリカセットインスタンス または シャーディングインスタンス をクリックします。
ページ左上隅で、インスタンスのリソースグループとリージョンを選択します。
対象インスタンスの ID をクリックするか、操作列の管理をクリックします。
インスタンス詳細ページの左側ナビゲーションウィンドウで、データセキュリティ > ホワイトリストの設定 をクリックします。
ホワイトリスト設定 セクションで、以下のいずれかの方法でインスタンスのホワイトリストを変更します。
手動での変更
1. インスタンスタイプに応じて、次のいずれかの操作を実行します。
  
  レプリカセットインスタンスの場合：Actions 列で対象グループの変更をクリックします。
  
  シャードクラスターインスタンスの場合：Actions 列で対象グループの 手動で変更 をクリックします。
2. Manually Modify パネルの IP White List テキストボックスに、IP アドレスまたは IP アドレス範囲を入力します。
  
  以下の形式がサポートされています。
  
  単一の IP アドレス。例：10.23.12.24。
  
  0.0.0.0/0
  
  警告
  ホワイトリストを 0.0.0.0/0 に設定すると、任意の IP アドレスからのアクセスが許可されます。これにより、ApsaraDB for MongoDB インスタンスに重大なセキュリティリスクが生じる可能性があります。この値は慎重に使用してください。
  
  CIDR (Classless Inter-Domain Routing) 形式。たとえば、10.23.12.24/24 の /24 はアドレスのプレフィックス長を示します。プレフィックス長は 1 ～ 32 の整数です。
  
  複数の IP アドレスまたは IP アドレス範囲は、カンマ ( , ) で区切ってください。
3. 確定する をクリックします。
ECS のプライベート IP の追加
1. 操作列で対象グループの ECS インスタンスの内部 IP アドレスの追加 をクリックします。
2. Import ECS Intranet IP パネルで、IP ホワイトリスト リストから追加する ECS インスタンスのプライベート IP アドレスを選択します。
3. をクリックします。
4. OK をクリックします。

よくある質問

パブリック IP アドレスを許可リストに追加してもインスタンスに接続できないのはなぜですか？

この問題は、誤ったパブリック IP アドレスを許可リストに追加した場合に発生することがあります。ローカルクライアントの正しいパブリック IP アドレスを確認するには、次の手順を実行してください。

ApsaraDB for MongoDB インスタンスの許可リストに IP アドレス 0.0.0.0/0 を追加します。

警告
0.0.0.0/0 は任意のデバイスによる ApsaraDB for MongoDB インスタンスへのアクセスを許可します。これはセキュリティリスクを伴うため、慎重に使用する必要があります。このエントリを使用する場合は、直ちに許可リストから削除してください。
MongoDB Shell (mongosh) を使用してインスタンスに接続します。

許可リストを 0.0.0.0/0 に設定しても MongoDB に接続できない場合は、Data Management (DMS) を使用して MongoDB に接続し、ユーザー名、パスワード、認証データベースが正しいかどうかを確認できます。

次のコマンドを実行して、MongoDB Shell (mongosh) セッションのクライアント情報を照会します。

db.currentOp({"appName" : "MongoDB Shell","active" : true})

コマンド実行後、結果の client フィールドにクライアントのパブリック IP アドレスが表示されます。出力例：

mgset-xxx:PRIMARY> db.currentOp({"appName" : "MongoDB Shell","active" : true})
{
    "inprog" : [
        {
            "desc" : "conn1591052",
            "threadId" : "48008022501120",
            "connectionId" : 1591052,
            "client" : "47.xxx.xxx.xxx:40602",
            "appName" : "MongoDB Shell",
            "clientMetadata" : {
                "application" : {
                    "name" : "MongoDB Shell"
                },
                "driver" : {
                    "name" : "MongoDB Internal Client",
                    "version" : "4.0.5"
                },
                "os" : {
                    "type" : "Linux",
                    "name" : "Ubuntu",
                    "architecture" : "x86_64",
                    "version" : "16.04"
                }
            },
        },
        "active" : true,

説明

別のクライアントを使用してインスタンスに接続している場合は、次のコマンドを実行してすべてのアクティブなクライアントの情報を照会します。

db.runCommand({currentOp: 1, "active" : true})

取得した IP アドレスを MongoDB インスタンスの許可リストに追加し、IP アドレス 0.0.0.0/0 を削除します。

ホワイトリストが正しく設定されていてもインスタンスに接続できないのはなぜですか？

ネットワークタイプとエンドポイントが正しいかどうかを確認してください。ApsaraDB for MongoDB はプライベートネットワークおよびパブリックネットワーク経由での接続をサポートしています。使用するネットワークタイプに対応するエンドポイントを使用する必要があります。

その他のトラブルシューティングについては、「接続とネットワークに関する問題」をご参照ください。

クライアントの IP アドレスが動的に変化する場合、ホワイトリストをどのように設定すればよいですか？

クライアントが動的 IP アドレスを使用している場合は、SSL-VPN トンネル経由でローカルクライアントから ApsaraDB for MongoDB インスタンスに接続するか、クライアントの IP アドレス範囲をホワイトリストに追加できます。

重要

クライアントの IP アドレス範囲をホワイトリストに追加する際は、セキュリティリスクを低減するために、可能な限り範囲を狭くしてください。

背景情報

操作手順

手動での変更

ECS のプライベート IP の追加

よくある質問