このトピックでは、ApsaraDB RDS for PostgreSQL インスタンスの IP アドレスホワイトリストを設定する方法について説明します。RDS インスタンスを作成した後、RDS インスタンスの IP アドレスホワイトリストまたはセキュリティグループを設定する必要があります。そうしないと、RDS インスタンスにアクセスできません。
シナリオ
IP アドレスホワイトリストは、RDS インスタンスへのアクセスが許可されている IP アドレスと CIDR ブロックで構成されます。RDS インスタンスの IP アドレスホワイトリストを設定して、RDS インスタンスに高レベルのアクセスの制御とセキュリティ保護を提供できます。設定した IP アドレスホワイトリストは定期的に更新することをお勧めします。
次のシナリオでは、IP アドレスホワイトリストを設定する必要があります。
シナリオ 1: RDS インスタンスを作成した後、外部 IP アドレスを IP アドレスホワイトリストに追加する必要があります。そうしないと、外部デバイスは RDS インスタンスにアクセスできません。
シナリオ 2: データベース接続の例外が発生した場合は、IP アドレスホワイトリストが正しく設定されているかどうかを確認できます。
次の表に、さまざまな接続シナリオでの IP アドレスホワイトリストの設定を示します。
接続シナリオ | ネットワークタイプ | IP アドレスホワイトリストの設定 |
Elastic Compute Service (ECS) インスタンスを RDS インスタンスに接続する | ECS インスタンスと RDS インスタンスが同じ VPC (推奨) にある | ECS インスタンスのプライベート IP アドレスを RDS インスタンスの IP アドレスホワイトリストに追加します。 |
ECS インスタンスと RDS インスタンスが異なる VPC にある | 異なる VPC のインスタンスは、内部ネットワークを介して相互に通信できません。この場合、次の操作を実行します。
| |
ACK クラスター内のコンテナーを RDS インスタンスに接続する | ACK クラスターと RDS インスタンスが同じ VPC (推奨) にある |
Pod の IP アドレスとノードの IP アドレスは、ACK クラスターの Pod ページで表示できます。 |
ACK クラスターと RDS インスタンスが異なる VPC にある | 異なる VPC 内のインスタンスは、内部ネットワークを介して相互に通信できません。この場合、次の操作を実行します。
| |
クラウド外の自己管理ホストを RDS インスタンスに接続する | なし | セルフマネージドホストのパブリック IP アドレスを RDS インスタンスの IP アドレスホワイトリストに追加します。
|
制限事項
RDS インスタンスには最大 50 個の IP アドレスホワイトリストを設定できます。
RDS インスタンスに IP アドレスホワイトリストを設定しても、インスタンス上のワークロードは影響を受けません。
IP アドレスホワイトリストグループは、IP アドレス管理にのみ使用されます。実際のアクセス権限には影響しません。すべての IP アドレスホワイトリストグループ内のすべての IP アドレスは、RDS インスタンスに対して同じアクセス権限を持ちます。
default というラベルの付いたホワイトリストはクリアできますが、削除はできません。
他の Alibaba Cloud サービス用に生成された IP アドレスホワイトリストは変更または削除しないでください。これらの IP アドレスホワイトリストを削除すると、関連する Alibaba Cloud サービスは ApsaraDB RDS インスタンスに接続できなくなります。たとえば、ali_dms_group (DMS の IP アドレスホワイトリストグループ) または hdm_security_ips (DAS の IP アドレスホワイトリストグループ) を変更または削除しないでください。
重要IP アドレスホワイトリストグループの誤った変更や削除を防ぐため、2020 年 12 月以降に作成されたインスタンスでは、hdm_security_ips IP アドレスホワイトリストグループはユーザーには表示されません。
デフォルトの IP アドレスホワイトリストには 127.0.0.1 のみが含まれています。これは、ローカル IP アドレス 127.0.0.1 を除く IP アドレスは RDS インスタンスにアクセスできないことを示します。
標準 IP アドレスホワイトリストの設定
RDS インスタンスページにアクセスし、ページ上部でリージョンを選択し、対象インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、[ホワイトリストとセキュリティグループ] をクリックします。
[ホワイトリストの作成] をクリックし、[グループ名] を入力するか、既存の IP アドレスホワイトリストグループの [変更] をクリックします。
RDS インスタンスにアクセスする必要がある IP アドレスまたは CIDR ブロックを入力し、[OK] をクリックします。
重要複数の IP アドレスまたは CIDR ブロックはコンマ (,) で区切ります。コンマの前後にスペースを追加しないでください。例:
192.168.0.1,172.16.213.9。各 RDS インスタンスには、最大 1,000 個の IP アドレスと CIDR ブロックを設定できます。多数の IP アドレスを指定するには、IP アドレスを
10.10.10.0/24などの CIDR ブロックにまとめることをお勧めします。
(オプション) 現在のインスタンスに読み取り専用インスタンスがある場合は、[読み取り専用インスタンスにホワイトリストを同期] パラメーターを設定して、プライマリインスタンスの IP アドレスホワイトリストを指定された読み取り専用インスタンスに同期できます。複数の読み取り専用 RDS インスタンスが RDS インスタンスにアタッチされている場合は、同期のために複数の読み取り専用 RDS インスタンスを選択できます。
(オプション) [ECS 内部 IP アドレスの読み込み] をクリックすると、Alibaba Cloud アカウントに属するすべての ECS インスタンスの IP アドレスが表示されます。ECS インスタンスのプライベート IP アドレスを IP アドレスホワイトリストにすばやく追加できます。
拡張 IP アドレスホワイトリストの設定
クラウドディスクインスタンスは、高セキュリティホワイトリストモードをサポートしていません。パフォーマンス専有型ローカルディスクストレージは購入できなくなりました。
高セキュリティホワイトリストモードは、クラシックネットワークと VPC を区別します。各 IP アドレスホワイトリストグループにネットワーク隔離モードを指定する必要があります。たとえば、クラシックネットワークの IP アドレスホワイトリスト内の IP アドレスは、VPC 経由で RDS インスタンスにアクセスするために使用することはできず、その逆も同様です。
パフォーマンス専有型ローカルディスクインスタンスがすでに高セキュリティホワイトリストモードになっている場合は、このセクションの手順に従ってください。高セキュリティホワイトリストモードに切り替えるには、「高セキュリティホワイトリストモードに切り替える」をご参照ください。
RDS インスタンスページにアクセスし、ページ上部でリージョンを選択し、対象インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、[ホワイトリストとセキュリティグループ] をクリックします。
[ホワイトリストの作成] をクリックし、[ネットワーク分離モード] を選択します。
[グループ名] を入力します。
[IP アドレス] フィールドに、RDS インスタンスにアクセスする必要がある IP アドレスまたは CIDR ブロックを入力し、[OK] をクリックします。
重要複数の IP アドレスまたは CIDR ブロックはコンマ (,) で区切ります。コンマの前後にスペースを追加しないでください。例:
192.168.0.1,172.16.213.9。各 RDS インスタンスには、最大 1,000 個の IP アドレスと CIDR ブロックを設定できます。多数の IP アドレスを指定するには、IP アドレスを 10.10.10.0/24 などの CIDR ブロックにまとめることをお勧めします。
(オプション) 現在のインスタンスに読み取り専用インスタンスがある場合は、[読み取り専用インスタンスにホワイトリストを同期] パラメーターを設定して、プライマリインスタンスの IP アドレスホワイトリストを指定された読み取り専用インスタンスに同期できます。複数の読み取り専用 RDS インスタンスが RDS インスタンスにアタッチされている場合は、同期のために複数の読み取り専用 RDS インスタンスを選択できます。
(オプション) [ECS 内部 IP アドレスの読み込み] をクリックすると、Alibaba Cloud アカウントに属するすべての ECS インスタンスの IP アドレスが表示されます。ECS インスタンスのプライベート IP アドレスを IP アドレスホワイトリストにすばやく追加できます。
説明RDS インスタンスで拡張ホワイトリストモードが有効になっている場合は、ネットワーク分離モードを選択する必要があります。
次のステップ
よくある質問
関連する API 操作
API 操作 DescribeDBInstanceIPArrayList を呼び出して、RDS インスタンスの IP アドレスホワイトリストを表示できます。
API 操作 ModifySecurityIps を呼び出して、RDS インスタンスの IP アドレスホワイトリストを変更できます。