このトピックでは、ApsaraDB RDS for MariaDB インスタンスの IP アドレスホワイトリストを設定する方法について説明します。RDS インスタンスの IP アドレスホワイトリストに追加された IP アドレスを持つデバイスのみが、RDS インスタンスにアクセスできます。
背景情報
IP アドレスホワイトリストは、RDS インスタンスのセキュリティを確保するために使用されます。RDS インスタンスの IP アドレスホワイトリストについては、以下の情報を参照してください。
IP アドレスホワイトリストには、RDS インスタンスへのアクセスを許可されている IP アドレスまたは CIDR ブロックが含まれています。 default というラベルの付いた IP アドレスホワイトリストには、127.0.0.1 エントリのみが含まれています。これは、外部 IP アドレスから RDS インスタンスへのアクセスが許可されていないことを示します。
IP アドレスホワイトリストは、標準ホワイトリストモードをサポートしています。標準 IP アドレスホワイトリストには、クラシックネットワークおよび仮想プライベートクラウド (VPC) の IP アドレスを含めることができます。MariaDB を実行する RDS インスタンスは、VPC にのみデプロイできます。
IP アドレスホワイトリストは、RDS インスタンスに高いセキュリティと効率的な保護を提供します。設定済みの IP アドレスホワイトリストを定期的に更新することをお勧めします。
注意事項
default というラベルの付いた IP アドレスホワイトリストは、変更または削除できます。ただし、IP アドレスホワイトリスト自体は削除できません。
1 つの RDS インスタンスに対して、最大 50 個の IP アドレスホワイトリストを設定できます。
RDS インスタンスの IP アドレスホワイトリストには、最大 1,000 個の IP アドレスと CIDR ブロックを追加できます。10.10.10.0/24 など、分散した IP アドレスをCIDR ブロックにマージすることをお勧めします。
Alibaba Cloud サービスにアクセスすると、サービスによって IP アドレスホワイトリストが自動的に作成されます。作成された IP アドレスホワイトリストには、サービスを実行しているサーバーの IP アドレスが含まれています。たとえば、Data Management (DMS) は ali_dms_group という名前の IP アドレスホワイトリストを作成し、Database Autonomy Service (DAS) は hdm_security_ips という名前の IP アドレスホワイトリストを作成します。自動的に作成された IP アドレスホワイトリストは、変更または削除しないでください。
重要サービスの IP アドレスを IP アドレスホワイトリストに追加しないでください。追加すると、関連サービスの更新時にサービスの IP アドレスが上書きされる可能性があります。その結果、サービス中断が発生する可能性があります。
2020 年 12 月以降に作成された RDS インスタンスの場合、hdm_security_ips というラベルの付いた IP アドレスホワイトリストはユーザーには表示されません。これにより、意図しない操作や削除によって IP アドレスホワイトリストが変更されるのを防ぎます。
手順
[インスタンス] ページに移動します。上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。次に、RDS インスタンスを見つけて、インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、[ホワイトリストとセキュリティグループ] をクリックします。
[ホワイトリスト設定] タブで、変更default というラベルの付いたホワイトリストの右側にある をクリックします。
説明また、[ホワイトリストの作成] をクリックして、IP アドレス ホワイトリストを作成することもできます。
[ホワイトリストの編集] ダイアログボックスで、RDS インスタンスへのアクセスを許可する IP アドレスまたは CIDR ブロックを入力し、[OK] をクリックします。
説明[デフォルト] というラベルの IP アドレス ホワイトリストに IP アドレスまたは CIDR ブロックを追加すると、デフォルトの IP アドレス 127.0.0.1 はこの IP アドレス ホワイトリストから自動的に削除されます。
複数の IP アドレスまたは CIDR ブロックを入力する場合は、コンマ (,) で区切る必要があります。コンマの前後にスペースを追加しないでください。例:
192.168.0.1,172.16.213.9。[ECS インスタンスの内部 IP アドレスを追加] をクリックすると、現在の Alibaba Cloud アカウント内で作成されたすべての Elastic Compute Service (ECS) インスタンスの IP アドレスが表示されます。その後、IP アドレスを選択して IP アドレス ホワイトリストに追加できます。
一般的なエラー
RDS インスタンスには、[ホワイトリストとセキュリティグループ] ページの [ホワイトリスト設定] タブにデフォルトの IP アドレス 127.0.0.1 のみを含む IP アドレスホワイトリストが 1 つだけあります。
この IP アドレスは、RDS インスタンスへのアクセスが許可されているデバイスがないことを示します。RDS インスタンスへのアクセスを必要とするデバイスの IP アドレスを IP アドレスホワイトリストに追加する必要があります。
IP アドレスホワイトリストには、0.0.0.0 という 1 つのエントリのみが含まれています。
すべてのデバイスから RDS インスタンスへのアクセスを許可する場合は、IP アドレスホワイトリストに 0.0.0.0/0 エントリを入力します。
重要すべてのデバイスが RDS インスタンスにアクセスできるようにするには、RDS インスタンスの IP アドレスホワイトリストに 0.0.0.0/0 エントリを追加する必要があります。注意して進めてください。
IP アドレスホワイトリストに追加したパブリック IP アドレスは、接続するデバイスの実際の出口 IP アドレスではありません。
考えられる原因:
パブリック IP アドレスが動的に変化する。
パブリック IP アドレスを照会するために使用されるツールまたは Web サイトが不正確な結果を返す。
解決策: ローカルサーバーからインターネット経由で ApsaraDB RDS for MySQL インスタンスまたは ApsaraDB RDS for MariaDB インスタンスに接続できないのはなぜですか? に記載されている手順に基づいて問題を解決します。
FAQ
RDS インスタンスの IP アドレスホワイトリストを設定した後、IP アドレスホワイトリストはすぐに有効になりますか?
いいえ。IP アドレスホワイトリストを設定した後、IP アドレスホワイトリストが有効になるまで約 1分かかります。
作成していない IP アドレスホワイトリストが見つかるのはなぜですか?
IP アドレスホワイトリストのエントリがプライベート IP アドレスの場合、IP アドレスホワイトリストは、DMS や DAS などの他の Alibaba Cloud サービスによって自動的に作成されます。この場合、IP アドレスホワイトリストはサービスデータに影響を与えないため、それ以上の操作は必要ありません。
RDS インスタンスのインターネットアクセスを無効にし、内部ネットワークアクセスのみを有効にした場合、RDS インスタンスはセキュリティリスクにさらされますか?
はい。インターネットアクセスを無効にし、内部ネットワークアクセスのみを有効にした場合、RDS インスタンスはセキュリティリスクにさらされます。RDS インスタンスのネットワークタイプを VPC に変更することをお勧めします。この場合、同じ VPC 内の ECS インスタンスのみが RDS インスタンスにアクセスできます。