ApsaraMQ for RabbitMQ:Accessing via PrivateLink endpoints

Cenários

Endpoints do PrivateLink são úteis para acessar o ApsaraMQ for RabbitMQ a partir de uma VPC específica nas seguintes situações:

• Produtos baseados em instância exigem isolamento de link de rede para acesso.

• Redes na nuvem e entre regiões utilizam a Cloud Enterprise Network (CEN).

• Regras de roteamento não permitem acessar produtos da nuvem em uma rede CEN.

• Alternativa ao SLB para acesso seguro: O ApsaraMQ for RabbitMQ não permite anexar uma instância do Server Load Balancer (SLB) para encaminhamento de tráfego nem suporta acesso pelo caminho "Internet > SLB > RabbitMQ". Para garantir acesso seguro dentro de uma VPC ou evitar exposição à Internet, use o PrivateLink para vincular a instância a uma VPC.

• Acesso entre data centers ou externo: Combine o PrivateLink com Express Connect ou VPN Gateway para conectar redes locais às VPCs na nuvem.

Após criar o endpoint do PrivateLink, o endpoint original da VPC continua disponível para acessar o serviço ApsaraMQ for RabbitMQ.

Faturamento

O ApsaraMQ for RabbitMQ cria e hospeda o endpoint do PrivateLink sem custo adicional. No entanto, o serviço PrivateLink cobra taxas horárias da conta Alibaba Cloud que o ativou, incluindo taxas de instância e de transferência de dados. Para mais informações, consulte Faturamento.

O endpoint do PrivateLink está vinculado à instância RabbitMQ associada. Não é possível excluí-lo manualmente no console do PrivateLink. Quando a instância RabbitMQ expira ou é excluída manualmente, o serviço ApsaraMQ for RabbitMQ remove automaticamente o endpoint do PrivateLink.

Disponibilidade por região

Este recurso está disponível nas seguintes regiões: China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou), China (Shenzhen), China (Guangzhou), China (Chengdu), China (Ulanqab), Singapura, Alemanha (Frankfurt), EUA (Silicon Valley), Indonésia (Jacarta), Malásia (Kuala Lumpur), China (Hong Kong), Arábia Saudita (Riad - Região Parceira), Filipinas (Manila) e Tailândia (Bangkok).

Procedimento

1. Faça login no console do ApsaraMQ for RabbitMQ. No painel de navegação à esquerda, clique em Instances.

2. Na barra de navegação superior da página Instances, selecione a região da instância que deseja gerenciar. Em seguida, na lista de instâncias, clique em nome da instância desejada.

3. Na página Instances, clique em aba Endpoint Information. Na seção Terminal Endpoint, localize a coluna Endpoint e clique em Create PrivateLink Endpoint.

4. No painel Create PrivateLink Endpoint, execute as etapas a seguir.

   1. Crie uma função vinculada ao serviço. Para mais informações, consulte Função vinculada ao serviço.

   2. Ative o serviço PrivateLink.

   3. Configure os parâmetros abaixo e clique em OK.

      Importante

      Não é possível modificar ou excluir um endpoint do PrivateLink após a criação. Certifique-se de inserir as informações corretas.

      Parâmetro	Descrição	Exemplo
      VPC ID	Selecione um ID de VPC. A VPC deve estar no estado Available.	vpc-degu45gufksifgiuf****
      VSwitch ID	Selecione os IDs de vSwitch. Para garantir alta disponibilidade, escolha vSwitches em pelo menos duas zonas. Nota Ao selecionar as zonas, verifique se é possível criar instâncias do Network Load Balancer (NLB) nessas zonas. Consulte as zonas suportadas ou verifique essa informação no console do NLB. Os vSwitches devem estar no estado Available e ter mais de 20 endereços IP disponíveis.	vsw-bewhf9uiagudie**** vsw-feuo8evyidochhe****
      Security Group	Selecione um grupo de segurança. Configure as regras de porta conforme descrito abaixo: Regra básica: Permita tráfego TCP de entrada nas portas 5672 e 5671. Cenário de cluster ACK: Se utilizar uma conexão interna, o grupo de segurança deve permitir o bloco CIDR dos Pods do cluster ACK. Alternativamente, use o recurso de lista de permissões da VPC para autorizar acesso diretamente da VPC do ACK. Cenário ECS: Se o ApsaraMQ for RabbitMQ e o ECS compartilharem o mesmo grupo de segurança, garanta que o grupo permita tráfego TCP de entrada na porta 5672. Grupos de segurança gerenciados não são suportados.	sg-uoefguo8fvyeif****

      Importante

      Não é possível modificar o grupo de segurança por conta própria após criar um endpoint do PrivateLink.

      • Motivo: A proteção gerenciada é ativada por padrão durante a criação do endpoint, e o serviço hospeda o endpoint.

      • Solução alternativa: Não é possível alterar o grupo de segurança pelo console. Se precisar modificá-lo, entre em contato com a equipe de suporte do ApsaraMQ for RabbitMQ.

      Depois de criar a instância, visualize os detalhes do endpoint na aba Endpoint Information da página Instance Details.

5. Após obter o endpoint do PrivateLink, configure-o no código do seu kit de desenvolvimento de software (SDK) para enviar e receber mensagens pela conexão privada. Para mais informações, consulte Etapa 3: Usar um SDK para enviar e receber mensagens.

Função vinculada ao serviço

• Ao usar um endpoint do PrivateLink pela primeira vez, crie a função vinculada ao serviço AliyunServiceRoleForAmqpNetwork. Antes de criar a função, conceda as permissões necessárias à sua conta. Anexe a política de sistema AliyunAMQPFullAccess. Se optar por uma política personalizada, conceda as seguintes permissões. Na política, substitua ${accountid} pelo ID da sua conta Alibaba Cloud.

  {
      "Statement": [
          {
              "Action": [
                  "ram:CreateServiceLinkedRole"
              ],
              "Resource": "acs:ram:*:${accountid}:role/*",
              "Effect": "Allow",
              "Condition": {
                "StringEquals": {
                "ram:ServiceName": [
                  "network.amqp.aliyuncs.com"
                ]
                }
              }
          }
      ],
      "Version": "1"
  }

• Nome da política: AliyunServiceRolePolicyForAmqpNetwork

• Permite que o ApsaraMQ for RabbitMQ utilize esta função para acessar o serviço PrivateLink e executar operações relacionadas à VPC.

• Para mais informações, consulte Funções vinculadas ao serviço.

Referências

Para saber mais sobre o PrivateLink, consulte O que é o PrivateLink?.

Perguntas frequentes