Container Service for Kubernetes:Configure ACL-based access control with AlbConfig

Etapa 1: Criar uma ACL

1. Faça login no console do ALB.

2. Na barra de navegação superior, selecione uma região.

3. No painel de navegação à esquerda, escolha ALB > Access Control.

4. Na página Access Control, clique em Create Access Control List.

5. Na caixa de diálogo Create ACL, configure os parâmetros e clique em OK.

   Parâmetro	Descrição
   ACL Name	O nome da ACL.
   Tag Key / Tag Value	Tags para filtrar ACLs na página Access Control.
   Resource Group	Selecione um grupo de recursos.

Etapa 2: Adicionar entradas à ACL

As entradas da ACL especificam endereços IP de origem ou blocos CIDR para comparar com as solicitações recebidas.

1. Na página Access Control, localize a ACL desejada e clique em Manage na coluna Actions.

2. Na aba Entry da página de detalhes da ACL, adicione entradas:

   • Entrada única: Clique em Add Entry, configure IP/CIDR Block e Remarks e, em seguida, clique em Add.

   • Várias entradas: Clique em Add ACL Entries, insira os blocos CIDR com observações e clique em Add:

     • Insira uma entrada por linha.

     • Use uma barra vertical (|) para separar os blocos IP/CIDR das observações. Exemplo: 192.168.1.0/24|Remarks.

     • Adicione até 20 entradas por vez.

3. Após adicionar as entradas:

   • Visualize os blocos CIDR em Entry.

   • Exclua entradas pela coluna Actions ou selecione várias entradas e clique em Delete.

   • Exporte as entradas usando o ícone no canto superior direito. Para exportar entradas específicas, selecione-as e clique no ícone .

Etapa 3: Associar a ACL a um listener

Adicione spec.listeners.aclConfig ao seu AlbConfig e especifique o ID da ACL em aclIds.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
  #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White   # Whitelist mode
        aclIds:
          - acl-wtg***   # Replace with your ACL ID
#...

Parâmetros de aclConfig:

Etapa 4: Verificar o efeito do controle de acesso

Acesse o Service de backend a partir de um cliente cujo IP público corresponda a uma entrada da lista de permissões (ou não corresponda a nenhuma entrada da lista de bloqueios).

Este exemplo utiliza recursos descritos em Introdução ao ALB Ingress.

Se o acesso for permitido, o cliente alcançará o Service de backend.

Etapa 5: (Opcional) Desassociar a ACL do listener

Para desassociar uma ACL, remova seu ID de aclIds ou defina aclIds como null.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White
        aclIds: null   # Removes the associated ACL
  #...

Para excluir a própria ACL, use o console do ALB . Não é possível excluir ACLs diretamente pelo AlbConfig.

Etapa 1: Configurar entradas de ACL no AlbConfig

Adicione ou atualize spec.listeners.aclConfig no AlbConfig. Especifique os blocos CIDR em aclEntries e, opcionalmente, um nome em aclName.

Se aclName estiver definido, a ACL usará esse nome. Caso aclName não esteja definido, o nome será gerado automaticamente como acl-{albName}-{port}.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16
          - 172.10.XX.XX/16
        aclType: White   # Whitelist mode
        aclName: "acl-test"   # Creates an ACL named acl-test
  #...

Parâmetros de aclConfig:

Etapa 2: Verificar o efeito do controle de acesso

Acesse o Service de backend a partir de um cliente cujo IP público corresponda a uma entrada da lista de permissões (ou não corresponda a nenhuma entrada da lista de bloqueios).

Este exemplo utiliza recursos descritos em Introdução ao ALB Ingress.

Se o acesso for permitido, o cliente alcançará o Service de backend.

Etapa 3: (Opcional) Remover entradas da ACL

Atualize aclEntries no AlbConfig. O controller sincroniza as alterações com a ACL associada.

Este exemplo remove 172.10.XX.XX/16 de acl-test, mantendo apenas 192.168.XX.XX/16. Defina aclEntries como uma lista vazia para remover todas as entradas.

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries:
          - 192.168.XX.XX/16   # 172.10.XX.XX/16 is removed from acl-test
        aclType: White
        aclName: "acl-test"
  #...

Para excluir a própria ACL, use o console do ALB . Não é possível excluir ACLs diretamente pelo AlbConfig.