ApsaraDB RDS:IP アドレスホワイトリストの設定

操作手順

1. [RDSインスタンス] ページに移動し、上部メニューでリージョンを選択し、対象インスタンスの ID をクリックします。

2. 左側のナビゲーションペインで、ホワイトリストとセキュリティグループ をクリックします。

3. IP アドレスホワイトリストのモードを確認します。

   説明

   ローカル SSD を使用する MySQL 5.5、5.6、または 5.7 を実行しているインスタンスは、拡張セキュリティモードに切り替えることができます。他のインスタンスは標準モードを使用します。

4. [default] グループの右側にある 変更 をクリックします。表示されたダイアログボックスで、IP アドレスをホワイトリストに追加します。

   説明

   • 必要に応じて、グループを追加する をクリックして、カスタムホワイトリストグループを作成することもできます。

   • ホワイトリストグループは IP アドレスの管理にのみ使用され、アクセス権限には影響しません。すべてのホワイトリストグループ内のすべての IP アドレスは、RDS インスタンスへのアクセスに関して同じ権限を持ちます。

   • 方法 1：アプリケーションサーバーの IP アドレスを IP アドレス ボックスに追加します。アプリケーションサーバーの IP アドレスを確認するには、「付録：アプリケーションサーバーの IP アドレスの確認方法」をご参照ください。また、ローカルのインターネット IP アドレスをロードします (ローカルネットワークプロキシが有効になっている場合は、まず先に無効にしてください) をクリックして、お使いのコンピューターのパブリック IP アドレスを直接追加することもできます。

     説明

     • 複数の IP アドレスはコンマ (,) で区切ります。コンマの前後にはスペースを入れないでください。

     • 1 つのインスタンスに追加できる IP アドレスまたは CIDR ブロックは最大 1,000 個です。個別の IP アドレスが多数ある場合は、10.10.10.0/24 のように CIDR ブロックに統合することを推奨します。

     • 拡張セキュリティモードを使用する場合は、次の点にご注意ください：

       • パブリック IP アドレスを [クラシックネットワーク] グループに追加します。

       • VPC 内にある Elastic Compute Service (ECS) インスタンスのプライベート IP アドレスを [VPC] グループに追加します。

   • 方法 2：[ECS インスタンスの内部 IP アドレスを追加] をクリックすると、現在のリージョンにある、お客様の Alibaba Cloud アカウント内のすべての ECS インスタンスの IP アドレスが表示されます。これにより、ECS インスタンスのプライベート IP アドレスを迅速にホワイトリストに追加できます。[IP アドレス] トランスファーボックスで、対象の IP アドレスを右側の [設定] リストに移動し、[OK] をクリックします。

   説明

   ホワイトリストに追加する IP アドレスは、コンピューティングリソースの種類によって異なります。ご利用のシナリオに合った方法を選択してください：

   • Simple Application Server：Simple Application Server の内部 IP アドレスを取得し、RDS ホワイトリストに追加します。

   • ACK Serverless クラスター：ポッドはデフォルトで NAT ゲートウェイを介してパブリックネットワークにアクセスします。クラスターのプライベートネットワーク CIDR ブロックではなく、NAT ゲートウェイの SNAT エントリで確認できるエグレスパブリック IP アドレスを RDS ホワイトリストに追加します。

   • EMR およびその他の動的 IP クラスター：ソース IP アドレスは動的に変更されるため、考えられる IP 範囲をカバーし、IP の変更によるアクセス障害を防ぐために、ホワイトリストを CIDR ブロック (例：10.0.0.0/16) で設定することを推奨します。

   • アカウント間の ECS または VPC 相互接続：アカウントが同じであるかどうかにかかわらず、(Cloud Enterprise Network (CEN) や VPC ピアリング接続などを介して) 内部ネットワークの相互接続が確立されている限り、アプリケーション側の ECS インスタンスの内部 IP アドレスを RDS ホワイトリストに追加する必要があります。

   IP アドレスを追加すると、アプリケーションサーバーが RDS インスタンスにアクセスできるようになります。

5. [OK] をクリックします。

ベストプラクティスとセキュリティに関する推奨事項

• パブリックネットワークアクセスのセキュリティ：パブリックエンドポイントを有効にすると、セキュリティリスクが生じます。ホワイトリストを厳密に制限し、ビジネスで必要なパブリック IP アドレスのみを許可することを推奨します。すべての IP アドレスを許可する 0.0.0.0/0 の使用は避けてください。不明な IP アドレスからの接続を検出した場合は、それらが正当な業務ホストからのものか、または解放されていない長時間実行トランザクションによるものかを確認してください。業務ホストでない場合は、直ちにホワイトリストポリシーを変更してください。

• ブルートフォース攻撃の防止：IP ホワイトリストを使用して、信頼できる IP アドレスへのアクセスを制限することを推奨します。これにより、不正な接続試行を根本的に削減できます。また、SSL 暗号化とパスワードの複雑性ポリシーを組み合わせることで、セキュリティをさらに強化できます。

• VPC CIDR ブロックの設定：大きな VPC CIDR ブロック (例：172.16.0.0/12) をホワイトリストに追加した場合、この範囲内のすべての IP アドレスが RDS にアクセスできます。vSwitch のサブネットを個別に追加する必要はありません。最小権限の原則に従い、大きな CIDR ブロックを削除し、特定の ECS インスタンスのプライベート IP アドレスを指定することができます。

• 内部ネットワークと外部ネットワークの分離設定：内部ネットワークからのアクセスは無制限に許可しつつ、特定の外部 IP アドレスのみを許可するには、VPC CIDR ブロックを内部ネットワークのホワイトリストグループに追加し、指定された外部 IP アドレスを別の外部ネットワークのホワイトリストグループに追加します。

次のステップ

ApsaraDB RDS for MySQL インスタンスへの接続

関連ドキュメント

• API：ModifySecurityIps

• API：DescribeDBInstanceIPArrayList

• 他のデータベースエンジンについては、以下のトピックをご参照ください：

  • ApsaraDB RDS for SQL Server インスタンスの IP アドレスホワイトリストの設定

  • ApsaraDB RDS for PostgreSQL インスタンスの IP アドレスホワイトリストの設定

  • ApsaraDB RDS for MariaDB インスタンスの IP アドレスホワイトリストの設定

よくある質問

• Q：ホワイトリストに登録されていない IP アドレスが RDS インスタンスにアクセスできるのはなぜですか？

  A：以下の点を確認してください：

  • すべてのホワイトリストグループに 0.0.0.0/0 が含まれていないか確認してください。0.0.0.0/0 エントリはすべての IP アドレスからのアクセスを許可するため、セキュリティリスクとなります。このエントリを削除し、信頼できる IP アドレスのみを追加することを推奨します。

  • インスタンスに関連付けられているすべてのセキュリティグループを確認してください。セキュリティグループがその IP アドレスからのアクセスを許可している場合、接続は許可されます。

• Q：インスタンスのパブリックアクセスが有効になっていない場合、オンプレミスのマシンから RDS インスタンスにアクセスするにはどうすればよいですか？

  A：プライベートネットワーク接続を確立する必要があります。詳細については、「VPCとオンプレミスデータセンターまたは他のクラウドとの接続」をご参照ください。

• Q：アプリケーションの IP アドレスが動的に変わり、固定されていません。RDS インスタンスの IP アドレスホワイトリストはどのように設定すればよいですか？

  A：静的 IP アドレスがない場合、0.0.0.0/0 を設定しないでください。この設定はすべての IP アドレスからの RDS へのアクセスを許可するため、セキュリティ上の理由から推奨されません。IP アドレスではなく、認証に基づくアクセス制御を使用することを推奨します。例：

  • 動的 DNS (DDNS) サービスの使用：DDNS サービスを使用して動的 IP アドレスにドメイン名を割り当て、そのドメイン名または解決された IP アドレスをデータベースのホワイトリストに追加します。

  • リバースプロキシまたは Server Load Balancer (SLB) インスタンスの使用：リバースプロキシまたは SLB インスタンスを介してリクエストをルーティングし、そのサーバーの静的 IP アドレスのみをデータベースのホワイトリストに追加します。

  • ホワイトリストの定期的な更新：IP アドレスが、家庭用ブロードバンドサービスのためにインターネットサービスプロバイダー (ISP) によって割り当てられる IP アドレスなど、予測可能な範囲内で変更される場合は、定期的に現在の IP アドレスを取得してホワイトリストを更新できます。

• Q：RDS コンソールでホワイトリストに IP アドレスを追加すると、次のエラーが表示されます：InvalidSecurityIPListLength.Malformed

  問題の説明

  ApsaraDB RDS コンソールでホワイトリストに IP アドレスを追加すると、次のエラーメッセージが表示されることがあります：

  エラーコード：InvalidSecurityIPListLength.Malformed
  エラーメッセージ (中国語)：セキュリティ IP アドレスが利用可能な範囲にないか、すでに占有されています。
  エラーメッセージ (英語)：The security ip address is not in the available range or occupied.

  ソリューション

  • 原因 1：エントリ数が上限を超えています。1 つのホワイトリストグループには、最大 1,000 個の IP アドレスまたは CIDR ブロックを含めることができます。

    解決策：1 つのホワイトリストグループ内の IP アドレスまたは IP アドレス範囲の数が 1,000 を超えないようにしてください。散在する IP アドレスを CIDR ブロック (例：192.168.1.0/24) にマージして、エントリ数を減らすことを推奨します。

  • 原因 2：IP アドレスホワイトリストに無効な IP アドレスが含まれています。

    解決策：入力した IP アドレスが有効であり、プレフィックス長が 1 から 32 の標準 CIDR 形式 (例：10.23.12.0/24) であることを確認してください。複数の IP アドレスを追加する場合は、コンマ (,) で区切ります。

  • 原因 3：既存のホワイトリストと競合しています。たとえば、ApsaraDB RDS for MySQL では、192.168.1.8 は 192.168.1.0/24 と競合します。

    解決策：ビジネス要件に基づいてホワイトリストのエントリを計画および追加し、既存のルールとの重複や競合を防いでください。

  説明

  システムの機能や接続のセキュリティに影響を与えないように、デフォルトグループ default (127.0.0.1 を含む) を削除したり、ali_dms_group や hdm_security_ips などのシステムグループを変更したりしないでください。

付録: 内部ネットワークアクセスの条件が満たされているかどうかを確認する

1. のリージョンを表示します。ECSアプリケーションがデプロイされているインスタンス。また、ECSインスタンスのネットワークタイプも表示します。詳細については、「事前準備」をご参照ください。
2. RDSインスタンスのリージョンとネットワークタイプを表示します。
   ApsaraDB RDSコンソールにログインし、[インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 RDSインスタンスを見つけ、インスタンスIDをクリックします。 表示されるページで、RDSインスタンスのリージョン、ネットワークタイプ、および仮想プライベートクラウド (VPC) IDを表示できます。
3. ECSインスタンスとRDSインスタンスが、内部ネットワークを介した通信で次の条件を満たしているかどうかを確認します。
   1. ECSインスタンスとRDSインスタンスは同じリージョンにあります。
   2. ECSインスタンスとRDSインスタンスは、同じタイプのネットワークに存在します。 ECSインスタンスとRDSインスタンスの両方がVPCに存在する場合、これらのインスタンスは同じVPCに存在する必要があります。
   説明 上記のいずれかの条件が満たされない場合、ECSインスタンスは内部ネットワークを介してRDSインスタンスと通信できません。

付録：アプリケーションサーバーの IP アドレスの確認方法

付録：システムが生成するホワイトリスト

ApsaraDB RDS for MySQL で Data Management Service (DMS)、Data Transmission Service (DTS)、Database Autonomy Service (DAS) などのサービスを使用すると、適切なアクセスを確保するために、システムは以下のホワイトリストグループを自動的に追加します。