IP ホワイトリストによる PolarDB クラスターアクセス保護 - PolarDB - Alibaba Cloud - PolarDB

IP ホワイトリストは、どの IP アドレスまたはセキュリティグループが PolarDB for MySQL クラスターにアクセスできるかを制御します。クラスターを作成した後、クラスターにアクセスする前に、オンプレミス環境または ECS インスタンスの IP アドレスをクラスターのホワイトリストに追加する必要があります。

注意事項

PolarDB は、VPC 内の ECS インスタンスのプライベート IP アドレスの自動取得をサポートしていません。PolarDB for MySQL クラスターにアクセスする必要がある ECS インスタンスのプライベート IP アドレスは、ホワイトリストに手動で入力する必要があります。
IP ホワイトリストとセキュリティグループの両方を設定できます。IP ホワイトリスト内の ECS インスタンスとセキュリティグループ内の ECS インスタンスの両方が、PolarDB for MySQL クラスターにアクセスできます。
ali_dms_group (DMS の IP ホワイトリスト)、hdm_security_ips (DAS の IP ホワイトリスト)、dtspolardb (DTS の IP ホワイトリスト) は、関連サービスを使用する際に自動的に生成されます。関連サービスの利用に影響を与えないよう、これらのグループを変更または削除しないでください。

重要
これらのグループに業務用の IP アドレスを追加しないでください。追加した場合、関連サービスの更新時に業務用の IP アドレスが上書きされ、通常の業務に影響を及ぼす可能性があります。
最大 50 個の IP ホワイトリストグループを作成でき、すべての IP ホワイトリストグループで合計 1,000 個の IP アドレスまたは CIDR ブロックをサポートしています。

シナリオ

IP ホワイトリストは、どの IP アドレスまたはセキュリティグループが PolarDB for MySQL クラスターにアクセスできるかを制御します。IP ホワイトリストを設定することで、PolarDB for MySQL クラスターの高いアクセスセキュリティを確保できます。ホワイトリストは定期的にメンテナンスすることを推奨します。以下は、IP ホワイトリストの設定が必要となる一般的なシナリオです：

ECS インスタンスが PolarDB for MySQL クラスターにアクセスする必要がある場合、[インスタンスの詳細] ページで ECS インスタンスの IP アドレスを確認し、IP ホワイトリストに追加します。
説明
- ECS インスタンスと PolarDB for MySQL クラスターが同じ VPC 内にある場合は、ECS インスタンスのプライベート IP アドレスまたは VPC の CIDR ブロックを入力できます。
- ECS インスタンスと PolarDB for MySQL クラスターが同じ VPC 内にない場合は、ECS インスタンスのパブリック IP アドレスを入力するか、ECS インスタンスが属するセキュリティグループを追加できます。また、ECS インスタンスを PolarDB for MySQL クラスターが存在する VPC に移行し、その後 ECS インスタンスのプライベート IP アドレスまたは VPC の CIDR ブロックを入力することもできます。
オンプレミスのサーバー、コンピューター、または他のクラウドサーバーが PolarDB クラスターにアクセスする必要がある場合は、それらのパブリック IP アドレスを IP ホワイトリストに追加します。

IP ホワイトリストの設定

PolarDB コンソールにログインします。左側のナビゲーションウィンドウで、クラスター をクリックします。クラスターがデプロイされている [リージョン] を選択し、クラスター ID をクリックしてクラスター詳細ページに移動します。
左側のナビゲーションペインで、設定と管理 > ホワイトリスト を選択します。
ホワイトリスト ページで、既存のホワイトリストグループに対して [IP ホワイトリストの追加] または [変更] を行うことができます。
- IP ホワイトリストグループの追加：
  
  [IP ホワイトリストの追加] をクリックします。[IP ホワイトリストの追加] ダイアログボックスで、グループ名とクラスターへのアクセスを許可する IP アドレスを入力します。
- IP ホワイトリストグループの設定：
  
  対象の IP ホワイトリストグループ名の右側にある [変更] をクリックします。[ホワイトリストの変更] ダイアログボックスで、クラスターへのアクセスを許可する IP アドレスを入力します。
説明
- IP ホワイトリストグループの名前は、次の要件を満たす必要があります：
  
  小文字、数字、アンダースコア (_) を含めることができます。
  
  先頭は英字、末尾は英字または数字である必要があります。
  
  長さは 2〜120 文字である必要があります。
- ホワイトリスト内の IP アドレスについて：
  
  IP アドレス (192.168.0.1 など) または CIDR ブロック (192.168.0.0/24 など) を入力できます。
  
  Kubernetes クラスター (ACK など) のポッドがクラスターにアクセスする場合、コンテナが再作成されるとポッドの IP アドレスは変更されます。単一のポッド IP アドレスの代わりに、ポッドの IP アドレスが属する CIDR ブロックを設定します。たとえば、ポッドの IP アドレスが 172.19.34.x の範囲にある場合は、172.19.34.0/24 を設定します。CIDR ブロックが不明な場合は、172.19.0.0/16 を設定できます。セキュリティグループを関連付けることもできます。セキュリティグループ内の ECS インスタンスは、自動的にホワイトリストに追加されます。
  
  複数の IP アドレスは、192.168.0.1,192.168.0.0/24 のようにコンマ (,) で区切ります。
  
  127.0.0.1 は、どの IP アドレスにもクラスターへのアクセスが許可されていないことを示します。
  
  0.0.0.0/0は、任意の IP アドレスからデータベースクラスターへのアクセスが許可されていることを意味します。この設定は、データベースのセキュリティを大幅に低下させます。やむを得ない場合を除き、この設定を使用しないでください。
- 各クラスターには、default という名前のデフォルト IP ホワイトリストグループが含まれており、これには IP アドレス 127.0.0.1 が含まれているため、どの IP アドレスもクラスターにアクセスできません。

よくある質問

ECS インスタンスが PolarDB for MySQL クラスターに接続できない

以下の手順でトラブルシューティングを行ってください。

PolarDB クラスターが [実行中] 状態であるかどうかを確認します。
データベースエンドポイント、ポート、アカウント、パスワードが正しいことを確認してください。データベースエンドポイントとポートの取得をご参照ください。
ECS インスタンスから ping <database endpoint> または telnet <database endpoint> <port> を使用してネットワーク接続をテストしてください。
1. [プライベートネットワーク] エンドポイントを使用している場合：
  1. ECS インスタンスと PolarDB クラスターが同じ VPC にあるかどうかを確認します。同じ VPC にない場合、[プライベートネットワーク] エンドポイントは使用できません。 ECS インスタンスと PolarDB クラスターを同じ VPC に配置するには、次のいずれかのソリューションを使用します。
    - ECS インスタンスの VPC を切り替えます。
    - クラスターが Cluster Edition クラスターの場合、クラスターの VPC を切り替えることができます。
    - Cloud Enterprise Network (CEN) を使用して、同一リージョン内の VPC 間の通信を有効にします。
  2. ECS インスタンスのプライベート IP アドレス、IP アドレス範囲、またはセキュリティグループがクラスターホワイトリストに追加されているかどうかを確認してください。
2. [パブリックネットワーク] エンドポイントを使用している場合、ECS インスタンスのパブリック IP アドレスまたはセキュリティグループがクラスターホワイトリストに追加されているかどうかを確認してください。

説明

仮想ホストと Simple Application Server は、[プライベートネットワーク] エンドポイントを介して PolarDB に接続できません。

オンプレミス環境が PolarDB for MySQL クラスターに接続できない

以下の手順でトラブルシューティングを行ってください。

PolarDB クラスターが [実行中] 状態であるかを確認します。
データベースエンドポイント、ポート、アカウント、パスワードが正しいことを確認してください。データベースエンドポイントとポートの取得をご参照ください。
説明
データベースエンドポイントは、[パブリックネットワーク] エンドポイントである必要があります。PolarDB クラスターと同じ VPC 内にある ECS インスタンスを使用している場合は、[プライベートネットワーク] エンドポイントを使用できます。
オンプレミス環境から ping <database endpoint> または telnet <database endpoint> <port> を使用してネットワーク接続をテストしてください。
オンプレミス環境のパブリック IP アドレスまたは IP アドレス範囲がクラスターホワイトリストに追加されているかどうかを確認してください。
パブリック IP アドレスの取得方法：
- Linux オペレーティングシステム：ターミナルを開き、curl ifconfig.me コマンドを実行します。
- Windows オペレーティングシステム：コマンドプロンプトを開き、curl ip.me コマンドを実行します。
- macOS オペレーティングシステム：ターミナルを開き、curl ifconfig.me コマンドを実行します。
オンプレミスネットワーク環境でプロキシサーバーを使用している場合や、その他の類似の設定がある場合、上記の方法で取得した IP アドレスが実際のパブリック IP アドレスでない可能性があります。IP アドレス範囲 0.0.0.0/0 を PolarDB for MySQL クラスターホワイトリストに追加できます。クラスターへの接続に成功した後、SHOW PROCESSLIST; コマンドを実行して実際のパブリック IP アドレスを取得し、クラスターホワイトリストに追加します。その後、ホワイトリストから IP アドレス範囲 0.0.0.0/0 を削除します。

「Can't connect to MySQL server on 'xxx'」または「Connection timed out」というエラーで PolarDB for MySQL クラスターに接続できない

環境のパブリック IP アドレスまたは IP アドレス範囲が PolarDB for MySQL クラスターホワイトリストに含まれていないか、入力した IP アドレスが正しくない可能性があります。

パブリック IP アドレスの取得方法：

Linux オペレーティングシステム：ターミナルを開き、curl ifconfig.me コマンドを実行します。
Windows オペレーティングシステム：コマンドプロンプトを開き、curl ip.me コマンドを実行します。
macOS オペレーティングシステム：ターミナルを開き、curl ifconfig.me コマンドを実行します。

オンプレミスネットワーク環境でプロキシサーバーを使用している場合や、その他の類似の設定がある場合、上記の方法で取得した IP アドレスが実際のパブリック IP アドレスでない可能性があります。IP アドレス範囲 0.0.0.0/0 を PolarDB for MySQL クラスターホワイトリストに追加できます。クラスターへの接続に成功した後、SHOW PROCESSLIST; コマンドを実行して実際のパブリック IP アドレスを取得し、クラスターホワイトリストに追加します。その後、ホワイトリストから IP アドレス範囲 0.0.0.0/0 を削除します。

ホワイトリストから IP アドレスを削除した後、既存の接続は切断されますか。

いいえ。ホワイトリストは新しい接続が確立されるときにのみチェックされます。IP アドレスが削除された後も、既存の接続は影響を受けませんが、新しい接続はブロックされます。既存の接続を切断するには、手動でセッションを終了させる必要があります。

不明な IP アドレスからの接続のトラブルシューティング方法

不明な IP アドレスからの接続を発見した場合は、次の手順に従って IP のソースを特定してください：

PolarDB コンソールにログインし、クラスター詳細ページに移動して、設定と管理 > ホワイトリスト を選択してください。
IP リスト内の各ホワイトリストグループに、不明な IP アドレスまたは 0.0.0.0/0 のエントリがないか確認してください。0.0.0.0/0 は、任意の IP アドレスからデータベースクラスターへのアクセスが許可されていることを示します。この設定は、データベースのセキュリティを大幅に低下させます。必要でない限り、この設定を使用しないでください。
hdm_security_ips (DAS の IP ホワイトリスト)、ali_dms_group (DMS の IP ホワイトリスト) およびその他のシステムグループには、Alibaba Cloud の内部モニタリングおよびヘルスチェックサービスからの IP アドレスが含まれています。これは想定される動作です。
アクションを実行する前に、不明な IP アドレスのソースを確認してください。誤ってシステムグループの IP アドレスを削除すると、関連サービスのモニタリングやその他の機能が誤動作する可能性があります。

IP ホワイトリストの問題に関する詳細については、「IP ホワイトリストの問題のトラブルシューティング」をご参照ください。

参考資料

グローバル IP ホワイトリストテンプレートの設定：グローバル IP ホワイトリストテンプレートを使用すると、関連付けられたすべての PolarDB クラスターに動的に適用される単一の IP ホワイトリストテンプレートセットを管理できます。
セキュリティグループの設定：セキュリティグループが追加されると、そのセキュリティグループ内の ECS インスタンスは自動的に PolarDB クラスターのホワイトリストに追加され、最新の状態に保たれます。これにより、新しい ECS インスタンスが追加された後に PolarDB クラスターのホワイトリストを手動で更新する必要がなくなります。

API 操作

API	説明
DescribeDBClusterAccessWhitelist	指定された PolarDB for MySQL クラスターへのアクセスが許可されている IP アドレスを照会します。
ModifyDBClusterAccessWhitelist	指定された PolarDB for MySQL クラスターへのアクセスが許可されている IP アドレスを変更します。