Todos os produtos
Search

Este produto

    Container Service for Kubernetes:Configure access control policies for the API server

    Central de documentação

    Container Service for Kubernetes:Configure access control policies for the API server

    Última atualização: Oct 27, 2026

    Ao criar um cluster do Container Service for Kubernetes (ACK), o sistema cria automaticamente uma instância privada do Classic Load Balancer (CLB) como o endpoint interno do servidor de API do cluster. Configure uma lista de permissões ou uma lista de bloqueios como regras de controle de acesso para o listener na porta 6443 da instância privada do CLB, a fim de evitar acessos não autorizados ao servidor de API.

    Associe um Elastic IP Address (EIP) à instância privada do CLB para criar um endpoint público e ative o acesso ao servidor de API pela internet.

    Importante

    Como o endpoint público e o endpoint interno compartilham a mesma instância privada do CLB, as regras de controle de acesso configuradas para a instância se aplicam a ambos os endpoints.

    O Server Load Balancer (SLB) oferece access control no nível do listener. É possível configurar o controle de acesso durante a criação do listener, bem como modificá-lo ou reconfigurá-lo depois que o listener for criado.

    Procedimento

    Configure uma lista de permissões ou de bloqueios para diferentes listeners, a fim de permitir o acesso apenas a partir de endereços IP específicos ou bloquear o acesso de endereços IP específicos.

    1. Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.

    2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

    3. Na página Cluster Information, clique na aba Basic Information. Na seção Network, localize Internal Endpoint e clique em Set access control à direita. Leia atentamente o aviso sobre os blocos CIDR que a política de controle de acesso deve permitir e, em seguida, clique em OK.

    4. No painel que se abre no console do SLB, ative a opção Access Control, selecione um método de controle de acesso e um grupo de políticas de controle de acesso e, em seguida, clique em OK.

      Antes de ative o controle de acesso , conclua primeiro a tarefa descrita em Crie uma ACL .
      Importante

      Ao configurar uma política de controle de acesso, especifique endereços IP que tenham acesso ao servidor de API. Os blocos CIDR dos componentes do plano de controle do cluster e dos serviços relacionados ao console também precisam ter acesso ao servidor de API. Portanto, adicione os blocos CIDR a seguir à lista de permissões. Nunca os adicione à lista de bloqueios. Caso contrário, os recursos do cluster e as operações de gerenciamento podem não funcionar conforme o esperado.

      • Container Service for Kubernetes bloco CIDR do plano de controle: 100.104.0.0/16.

      • O bloco CIDR primário e quaisquer blocos CIDR secundários da Virtual Private Cloud (VPC) do cluster, ou os blocos CIDR dos vSwitches onde os nós do cluster estão localizados.

      • Os blocos CIDR de saída (egress) dos seus clientes que precisam acessar o endpoint do servidor de API.

      • Além dos blocos CIDR mencionados, para um ACK Edge cluster, também é necessário permitir os blocos CIDR de saída dos nós de borda.

      • Adicionalmente aos blocos anteriores, para um ACK Lingjun cluster, você deve permitir o bloco CIDR do Lingjun Virtual Private Datacenter (VPD).