MaxCompute:Gerenciar listas de permissões de endereços IP

Além da autenticação, o MaxCompute permite configurar uma lista de permissões de endereços IP para aumentar a segurança. Com esse recurso ativado, o sistema aceita apenas solicitações originadas de endereços IP incluídos na lista. Todas as demais solicitações são negadas, mesmo que apresentem um AccessKey ID e um AccessKey Secret válidos.

• Lista de permissões de endereços IP para a rede de interconexão de produtos cloud

  • Ao usar o cliente do MaxCompute para acessar um projeto, adicione o endereço IP do dispositivo onde o cliente está instalado.

  • Ao usar uma aplicação para acessar um projeto, adicione o endereço IP do servidor da aplicação à lista de permissões.

  • Ao acessar um projeto por meio de um servidor proxy ou de um servidor proxy multi-hop, adicione o endereço IP do último servidor proxy à lista de permissões.

  • Ao usar o DataWorks, adicione os endereços IP do grupo de recursos exclusivos do DataWorks e outros endereços IP relacionados à lista de permissões.

• Lista de permissões de endereços IP para uma VPC

  Antes de configurar uma lista de permissões de endereços IP para uma VPC, conclua as etapas a seguir:

  • Obtenha o ID da instância da VPC.

  • Configure um endpoint para a VPC. Para mais informações, consulte Endpoints.

  • Adicione à lista de permissões os endereços IP de todos os serviços que precisam acessar o MaxCompute. Por exemplo, se você usa Data Integration, Data Map ou Realtime Compute for Apache Flink, inclua os endereços IP desses serviços na lista.

O MaxCompute suporta apenas listas de permissões de endereços IP no nível do projeto. Os seguintes formatos são aceitos:

• Endereço IPv4 ou IPv6. Exemplos: 192.168.0.0 e 2001:db8::.

• Bloco CIDR. Exemplos: 172.12.0.0/16 e 2001:db8::/32.

• Faixa de endereços IP. Exemplos: 192.168.10.0-192.168.255.255 e 2001:db8:1:1:1:1:1:1-2001:db8:4:4:4:4:4:4.

Pelo CLI

O parâmetro para a lista de permissões de endereços IP da rede pública e da rede de interconexão de produtos cloud é odps.security.ip.whitelist. O parâmetro para VPCs é odps.security.vpc.whitelist. Para mais detalhes sobre a sintaxe do comando e os parâmetros, consulte Visualizar propriedades do projeto.

Execute os comandos abaixo para adicionar endereços IP a uma lista de permissões:

• Se você configurar uma lista de permissões de endereços IP apenas para a rede pública e a rede de interconexão de produtos cloud, o acesso por essas redes será restrito e todo o acesso via VPCs será negado.

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=\N;

  Para restringir o acesso apenas de redes que não sejam VPC, sem limitar o acesso via VPCs, use o caractere curinga asterisco (*) para as VPCs:

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=*;

  Ao configurar a lista de permissões de endereços IP para a rede pública e a rede de interconexão de produtos cloud, inclua o endereço IP do dispositivo onde você executa o cliente do MaxCompute para evitar o bloqueio do seu próprio acesso. Se a lista configurada não incluir a VPC de onde a solicitação é feita, o comando falhará com um aviso de risco. Exemplo:

  odps@ xxx>setproject odps.security.ip.whitelist=192.168.1.xxx;
  FAILED: Yourself will be banned by your new IP/VPC whitelist!
  Test result: vpc:'cn-hangzhou_123' or '123' not in vpc white list. project: lyh_meta1

• Se você configurar uma lista de permissões de endereços IP apenas para uma VPC, o acesso por essa VPC será restrito e todo o acesso pela rede pública e pela rede de interconexão de produtos cloud será negado.

  setproject odps.security.ip.whitelist=\N odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

  Para configurar o controle de acesso apenas para uma VPC sem desabilitar o acesso de redes que não sejam VPC, use o endereço IP curinga 0.0.0.0/0:

  setproject odps.security.ip.whitelist=0.0.0.0/0 odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

• Caso seja necessário configurar listas de permissões de endereços IP tanto para a rede pública/rede de interconexão de produtos cloud quanto para uma VPC, o acesso por ambos os tipos de rede será restrito.

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

• Para configurar listas de permissões com múltiplos endereços IP para a rede pública/rede de interconexão de produtos cloud e para várias VPCs, use o formato a seguir.

  setproject odps.security.ip.whitelist=192.168.0.0,192.168.0.10 odps.security.vpc.whitelist=<vpc-instance-id1>[192.168.0.10,192.168.0.20],<vpc-instance-id2>;

  Separe múltiplos endereços IP da rede pública ou da rede de interconexão de produtos cloud com vírgulas (,). Para endereços IP de VPC, use o formato <ID da instância da VPC>[lista de endereços IP]. Para permitir todos os endereços IP de uma VPC específica, especifique apenas o ID da instância dessa VPC.

Pelo console

No console do MaxCompute, selecione sua região. Na página Projects, localize seu projeto e clique em Manage na coluna Actions. Em seguida, na aba Parameter Configuration, edite a IP Address Whitelist.

• IP de rede pública e de interconexão de produtos cloud: Separe múltiplos endereços IP com vírgulas (,). Se você configurar uma lista de permissões de endereços IP apenas para a rede pública e a rede de interconexão de produtos cloud, o acesso por essas redes será restrito e todo o acesso via VPCs será negado. Caso não deseje restringir o acesso via VPCs, defina o parâmetro "VPC network IP" com o caractere curinga asterisco (*).

• IP de rede VPC: Separe múltiplos endereços IP com vírgulas (,). Se você configurar uma lista de permissões de endereços IP apenas para uma VPC, o acesso por essa VPC será restrito e todo o acesso pela rede pública e pela rede de interconexão de produtos cloud será negado. Exemplo: <vpc-instance-id1>[192.168.0.10,192.168.0.20],<vpc-instance-id2>. Para configurar o controle de acesso apenas para a VPC sem desabilitar o acesso de redes que não sejam VPC, defina o parâmetro "Public network and cloud product interconnection network IP" com o curinga 0.0.0.0/0.

Execute o comando setproject; para visualizar a lista de permissões de endereços IP. Os parâmetros odps.security.ip.whitelist= e odps.security.vpc.whitelist listam os endereços IP permitidos. Se o valor de odps.security.ip.whitelist= ou odps.security.vpc.whitelist estiver vazio, nenhuma lista de permissões de endereços IP estará configurada.

setproject;

A saída retornada será semelhante a esta:

odps.security.ip.whitelist=192.168.0.0
odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20]

odps.security.vpc.whitelist=cn-beijing_125179[192.168.0.10,192.168.0.20]

Execute o comando setproject para modificar as listas de permissões de endereços IP da rede pública, da rede de interconexão de produtos cloud e das VPCs. Este comando substitui a lista de permissões existente pelos novos valores.

• Modificar a lista de permissões de endereços IP para a rede pública e a rede de interconexão de produtos cloud

  setproject odps.security.ip.whitelist=192.168.0.10;

• Modificar a lista de permissões de endereços IP para uma VPC

  setproject odps.security.vpc.whitelist=<vpc-instance-id>[192.168.10.10,192.168.0.20];

Execute o comando a seguir para desativar o recurso de lista de permissões de endereços IP. Isso remove todas as restrições de acesso para a rede pública, a rede de interconexão de produtos cloud e as VPCs.

setproject odps.security.ip.whitelist= odps.security.vpc.whitelist= ;

Execute o comando abaixo para permitir que todos os serviços da Alibaba Cloud acessem o MaxCompute pela rede de interconexão de produtos cloud ou por uma VPC:

setproject odps.security.ip.whitelist=192.168.0.0/16,172.16.0.0/12,10.0.0.0/8,11.0.0.0/8,33.0.0.0/8,26.0.0.0/8,100.64.0.0/10 odps.security.vpc.whitelist=*;

• odps.security.ip.whitelist: A lista de permissões de endereços IP para a rede pública e a rede de interconexão de produtos cloud. Use os endereços IP indicados no comando acima. Para adicionar mais endereços IP, anexe-os à lista.