Melhores práticas de aplicação do Server Load Balancer - Cloud Config: Central de Documentação do Alibaba Cloud

Identifique riscos potenciais em suas instâncias de Classic Load Balancer e Application Load Balancer (ALB). Esses riscos envolvem configurações de rede pública, listas de permissões, recuperação de desastres multizona, renovação e expiração de instâncias e gerenciamento de mudanças. Aplicar essas melhores práticas para o Server Load Balancer (SLB) ajuda a evitar riscos de segurança e melhorar a confiabilidade do sistema. Este tópico descreve as regras padrão para as melhores práticas de aplicação do SLB.

Nome da regra	Descrição da regra
Ative listeners HTTPS para SLB	Uma instância de SLB está em conformidade se tiver um listener HTTPS ativo na porta especificada. A regra não se aplica se a instância tiver apenas listeners TCP ou UDP.
Ative logs de acesso para instâncias de SLB	Uma instância de Classic Load Balancer está em conformidade se os logs de acesso estiverem ativados. Esta regra não se aplica a instâncias sem listeners da camada 7, pois elas não suportam logs de acesso.
Use instâncias de SLB multizona e configure recursos de múltiplas zonas para grupos de servidores	Uma instância de SLB está em conformidade se for multizona e todos os grupos de servidores usados por seus listeners contiverem recursos de múltiplas zonas.
Adicione recursos de múltiplas zonas aos grupos de servidores do ALB	Uma instância de ALB está em conformidade se os recursos anexados aos seus grupos de servidores estiverem distribuídos por várias zonas. Esta regra não se aplica caso não haja recursos anexados ao grupo de servidores do ALB.
Verificação de instância ociosa de SLB	Uma instância de SLB está em conformidade se tiver pelo menos um listener em execução. Esta regra não se aplica a instâncias criadas dentro de um número específico de dias. O padrão é 7 dias.
Verificação de instância ociosa de ALB	Uma instância de ALB está em conformidade se houver pelo menos um servidor backend adicionado a cada um de seus listeners. Esta regra não se aplica a instâncias criadas dentro de um número específico de dias. O padrão é 7 dias.
Use conjuntos de políticas de segurança especificados para listeners HTTPS de SLB	Uma instância de SLB está em conformidade se todos os seus listeners HTTPS usarem a versão do conjunto de políticas de segurança especificada nos parâmetros. Esta regra não se aplica a instâncias de SLB sem listeners HTTPS.
Configure verificações de integridade para todos os listeners e regras de encaminhamento do ALB	Uma instância de ALB está em conformidade se as verificações de integridade estiverem configuradas para todos os seus listeners e regras de encaminhamento.
As verificações de integridade estão ativadas para todos os listeners do Server Load Balancer.	Uma instância de SLB está em conformidade se as verificações de integridade estiverem ativadas para todos os seus listeners em execução.
Use instâncias de ALB multizona	Uma instância de ALB está em conformidade se for multizona. Selecione apenas uma zona pode afetar a instância de ALB e comprometer a estabilidade do service em caso de falha nessa zona.
A lista de permissões de controle de acesso do ALB contém endereços IP ou blocos CIDR especificados	Uma instância de ALB está em conformidade se a lista de permissões de controle de acesso de qualquer um de seus listeners contiver os endereços IP ou blocos CIDR especificados.
Configure o controle de acesso para todos os listeners de ALB em execução	Uma instância de ALB está em conformidade se o controle de acesso estiver configurado para todos os seus listeners em execução. Esta regra não se aplica a instâncias sem listeners configurados.
Configure o controle de acesso para todos os listeners de SLB em execução	Uma instância de SLB está em conformidade se o controle de acesso estiver configurado para todos os seus listeners em execução. Esta regra não se aplica a instâncias sem listeners configurados.
A lista de permissões de controle de acesso do SLB contém endereços IP ou blocos CIDR especificados	Uma instância de SLB está em conformidade se a lista de permissões de controle de acesso de qualquer um de seus listeners contiver os endereços IP ou blocos CIDR especificados.
Ative a renovação automática para instâncias de SLB por assinatura	Uma instância de SLB por assinatura está em conformidade se a renovação automática estiver ativada.
Verificação de expiração de instância de SLB por assinatura	Renove recursos por assinatura antecipadamente para evitar interrupções de service devido a problemas de pagamento. Uma instância está em conformidade se sua data de expiração for superior a um número especificado de dias a partir da data de verificação. O padrão é 30 dias. Instâncias com renovação automática também estão em conformidade. Esta regra não se aplica a instâncias de pagamento conforme o uso.
A lista de controle de acesso do SLB não permite todos os endereços IP	Uma lista de controle de acesso de SLB está em conformidade se não contiver uma entrada para 0.0.0.0/0.
Use instâncias de SLB em uma VPC	Se houver parâmetros definidos, a instância estará em conformidade se sua Virtual Private Cloud (VPC) associada estiver dentro do intervalo especificado. Caso contrário, a instância estará em conformidade se seu tipo de rede for VPC.
Ative a proteção contra exclusão para instâncias de SLB	Uma instância de SLB está em conformidade se a proteção contra exclusão estiver ativada.
A instância de SLB é uma instância de desempenho garantido	Uma instância de SLB está em conformidade se for uma instância de desempenho garantido.
O peso do servidor backend do SLB não é 0	Uma instância de SLB está em conformidade se o peso de seus servidores backend não estiver definido como 0.
Instâncias de SLB não usam portas de escuta especificadas	Uma instância de SLB está em conformidade se suas portas de escuta não incluírem nenhuma das portas de risco especificadas.
Ative a proteção contra exclusão para instâncias de ALB	Ative a proteção contra exclusão para evitar a liberação acidental da instância. Uma instância está em conformidade se a proteção contra exclusão estiver configurada.
O tipo de rede da instância de ALB é privado	Uma instância de ALB está em conformidade se seu tipo de rede for privada.
A instância de SLB não está associada a um endereço IP público	Uma instância de SLB está em conformidade se não estiver associada a um endereço IP público. Se sua aplicação não exigir acesso à rede pública, não associe um endereço IP público diretamente à instância de SLB. Caso precise de acesso à rede pública, adquira Endereços IP Elásticos (EIPs) e associe-os à instância de SLB. Os EIPs oferecem maior flexibilidade e podem reduzir custos quando usados com Internet Shared Bandwidth.