E-MapReduce:Gerencie grupos de segurança

Informações gerais

Ao criar um cluster EMR, é possível utilizar um grupo de segurança existente ou crie um novo para controlar o tráfego de entrada e saída de todas as instâncias ECS do grupo. Organize as instâncias em diferentes grupos de segurança com base na função de cada uma. Por exemplo, grupos de segurança criados pelo EMR são grupos de segurança EMR, enquanto grupos preexistentes são grupos de segurança do usuário. Cada grupo de segurança pode ter seu próprio conjunto de regras de controle de acesso.

Para mais informações sobre como crie um grupo de segurança, consulte Create a security group.

Limites

• No tipo de rede clássica, a instância precisa pertencer a um grupo de segurança do tipo rede clássica na mesma região.

• No tipo de rede VPC, a instância precisa pertencer a um grupo de segurança na mesma VPC.

Observações

• Ao adicionar uma regra de grupo de segurança, sempre restrinja o intervalo de endereços IP source. Não utilize 0.0.0.0/0 para evitar possíveis ataques.

• Ao adicionar regras de grupo de segurança, siga o princípio de menor privilégio. Para o objeto de autorização, conceda acesso apenas a partir do seu endereço IP público atual. Para descobrir seu endereço IP público atual, acesse IP Address.

• Não utilize grupos de segurança empresariais criados no console do ECS para o seu cluster EMR.

• O service EMR utiliza o bloco CIDR 100.64.0.0/10 e os intervalos de VIP internos do Object Storage Service (OSS) para fornecer serviços de plano de controle aos clusters EMR. Não bloqueie o tráfego desses intervalos no grupo de segurança do seu cluster. Para mais informações, consulte Access OSS by using endpoints and bucket domain names.

  Você é responsável por quaisquer falhas no service EMR causadas por configurações inadequadas de grupo de segurança.

• Ao configure regras de grupo de segurança para um cluster EMR, garanta que todas as instâncias ECS no cluster consigam se comunicar entre si pela rede interna. Caso contrário, os serviços de big data no cluster serão interrompidos.

Adicionar uma instância a um grupo de segurança

1. Acesse a página Nodes.

   1. Faça logon no console do E-MapReduce.

   2. Na barra de navegação superior, selecione uma região e um grupo de recursos.

   3. Na página Clusters, localize o cluster e clique em Nodes na coluna Actions.

2. Acesse a página da lista de grupos de segurança.

   1. Na página Nodes, clique em o ícone à esquerda de um grupo de nós.

   2. Clique em o ID da instância ECS.

   3. Na página de detalhes da instância, clique em na aba Security Group.

3. Na página Security Groups, clique em Add to Security Group.

4. Na caixa de diálogo Add to Security Group, selecione um grupo de segurança na lista Security Group.

   Para adicionar a instância ECS a vários grupos de segurança, selecione um grupo de segurança e clique em Add to Batch Selection. Isso adiciona o grupo ao painel de seleção. Repita esse processo para adicionar outros grupos de segurança.

5. Clique em OK.

   Repita de Step 2 a Step 4 para adicionar as demais instâncias ECS do cluster EMR aos grupos de segurança apropriados.

Adicionar uma regra de grupo de segurança

1. Obtenha seu endereço IP público.

   Para acessar os componentes do cluster com segurança, permita tráfego apenas do seu endereço IP público atual na regra de grupo de segurança. Para descobrir seu endereço IP público atual, acesse IP Address.

2. Acesse a página do grupo de segurança.

   1. Faça logon no console do E-MapReduce.

   2. Na barra de navegação superior, selecione uma região e um grupo de recursos.

   3. Na página Clusters, clique em o ID do cluster.

   4. Na página Basic Information, clique em o link ao lado de Cluster Security Group.

3. Na página Security Group Rules, clique em Add Rule e configure a regra.

   Defina o Port Range e o Authorization Object. Mantenha os valores padrão para os demais parâmetros. Para mais informações, consulte Add a security group rule.

   Parâmetro	Descrição
   Port number range	A porta a ser aberta na instância ECS para acesso.
   Authorization Object	O endereço IP público obtido no Step 1. Importante Para evitar riscos de segurança, não defina o Authorization Object como 0.0.0.0/0.

4. Clique em Save.