Network access and security settings - E-MapReduce: Central de Documentação do Alibaba Cloud

Este tópico descreve os tipos de acesso à rede e como configurá-los para garantir um ambiente de rede seguro e eficiente.

Tipos de acesso à rede

O StarRocks oferece suporte a acesso via VPC e acesso público.

Acesso via VPC: permite acessar uma instância do StarRocks a partir da VPC local ou de outras VPCs.
Acesso público: possibilita o acesso a uma instância do StarRocks pela internet. Mesmo com o acesso público ativado, o acesso via VPC permanece disponível.
Importante
- O acesso público do StarRocks utiliza o Classic Load Balancer (CLB) da Alibaba Cloud. Os custos de rede resultantes são cobrados conforme descrito na Visão geral do faturamento do CLB.
- Ao ativar o acesso público em uma instância do StarRocks, várias instâncias do Classic Load Balancer (CLB) são criadas automaticamente na sua conta Alibaba Cloud. Essas instâncias possuem proteção contra exclusão ativada e não podem ser removidas.
- Por padrão, a ativação do acesso público permite conexões de qualquer endereço IP público. Configure uma lista de permissões de controle de acesso para proteger sua instância.

Configurações de acesso à rede

Novas instâncias do StarRocks utilizam, por padrão, um endpoint interno. Caso necessite de acesso público, ative-o nos nós apropriados na página Instance Details.

Nó Frontend (FE): na página Instance Details, dentro da seção Gateway Information, clique em Enable Access over Internet.
Backend (BE) ou Compute Node (CN): na página Computing Group, clique em Manage na coluna Actions do warehouse desejado e, em seguida, clique em Enable Access over Internet.

Tipos de endpoint

Existem dois tipos de endpoints:

Endpoint interno (suporta acesso dentro da mesma VPC e entre vSwitches)
- O formato do endpoint interno do FE é: fe-{srClusterId}-internal.starrocks.aliyuncs.com:{port}
  
  Nota
  Clientes externos se conectam ao endpoint do Server Load Balancer (SLB), e não diretamente às instâncias de serviço. A instância do SLB distribui as requisições para realizar o balanceamento de carga.
- O formato do endpoint interno do BE é: be-{srClusterId}-internal.starrocks.aliyuncs.com:{port}
Endpoint público
- O formato do endpoint público do FE é: fe-{srClusterId}.starrocks.aliyuncs.com:{port}
- O formato do endpoint público do BE é: be-{srClusterId}.starrocks.aliyuncs.com:{port}

Nota

{srClusterId}: o ID da instância do StarRocks.
{port}: o número da porta de serviço. Para FEs, a porta de consulta é 9030 e a porta HTTP é 8030. Para BEs, a porta HTTP é 8040.

Configurações de segurança de rede

Para proteger seus dados, restrinja o acesso à sua instância do StarRocks configurando listas de permissões de segurança de rede. As configurações de segurança incluem uma lista de permissões de grupo de segurança para acesso via VPC e uma lista de permissões de política de controle de acesso para acesso público.

Importante

Para evitar riscos de segurança decorrentes de ataques externos, não defina o Authorization Object como 0.0.0.0/0.

Lista de permissões da política de controle de acesso público
1. Na seção Gateway Information da página Instance Details da instância alvo, e na página Manage Warehouse do warehouse correspondente, clique em Enable Access over Internet ao lado de Public Endpoint.
2. Clique em Public IP Address Whitelist ao lado do Public Endpoint.
3. Na página Access Control do Classic Load Balancer (CLB), clique em Add Entry para adicionar regras de restrição de acesso.
  
  Para mais informações, consulte Controle de acesso para CLB.
Lista de permissões de grupo de segurança para acesso via VPC

Na página Instance Details da instância alvo, verifique o Network Type na seção Gateway Information para confirmar se o Server Load Balancer (SLB) está ativado.

Importante
Se a instância migrar do acesso PrivateZone para SLB, a lista de permissões de VPC do grupo de segurança existente deixará de ter efeito. Com o SLB ativado, o acesso via VPC é encaminhado através dele, e as listas de permissões de grupos de segurança não conseguem restringir o tráfego roteado pelo SLB. Migre manualmente as entradas da lista de permissões de VPC do grupo de segurança para o controle de acesso do CLB, garantindo que suas políticas de segurança de acesso via VPC continuem válidas.
- Caso o Network Type seja SLB, a instância utiliza um Server Load Balancer (SLB).
  
  Na página Instance Details, dentro da seção Gateway Information, clique em View SLB para visualizar o console do SLB e definir as configurações de controle de acesso. Para detalhes, veja Controle de acesso para CLB.
- Se o Network Type for PrivateZone, a instância não usa Server Load Balancer (SLB).
  1. Na página Instance Details, dentro da seção Security Configuration, clique em Whitelist ao lado do Security Group ID.
  2. No painel Configure Whitelist, modifique o grupo de lista de permissões padrão ou clique em Add Whitelist e insira um nome, além dos endereços IP ou blocos CIDR.
  3. Clique em OK.