Configure listas de permissões para um cluster - PolarDB: Central de Documentação do Alibaba Cloud

As listas de permissões de IP controlam quais endereços IP ou grupos de segurança podem acessar um cluster PolarDB for MySQL. Após crie um cluster, adicione os endereços IP do seu ambiente local ou das instâncias ECS à lista de permissões do cluster antes de acessá-lo.

Precauções

O PolarDB não oferece suporte à obtenção automática dos endereços IP privados de instâncias ECS em VPCs. Insira manualmente o endereço IP privado da instância ECS que precisa acessar o cluster PolarDB for MySQL na lista de permissões.
É possível configurar tanto listas de permissões de IP quanto grupos de segurança. As instâncias ECS presentes na lista de permissões de IP e as instâncias ECS no grupo de segurança podem acessar o cluster PolarDB for MySQL.
Os grupos ali_dms_group (lista de permissões de IP para DMS), hdm_security_ips (lista de permissões de IP para DAS) e dtspolardb (lista de permissões de IP para DTS) são gerados automaticamente ao usar os serviços relacionados. Não modifique nem exclua esses grupos para evitar impactos no uso desses serviços.

Importante
Não adicione seus endereços IP de produção a esses grupos. Caso contrário, eles poderão ser substituídos durante atualizações dos serviços relacionados, o que afeta as operações normais.
É possível crie até 50 grupos de listas de permissões de IP, e todos os grupos suportam um total acumulado de 1.000 endereços IP ou blocos CIDR.

Cenários

As listas de permissões de IP controlam quais endereços IP ou grupos de segurança podem acessar um cluster PolarDB for MySQL. Configure listas de permissões de IP oferece um alto nível de segurança de acesso para o seu cluster PolarDB for MySQL. Recomendamos manter as listas de permissões atualizadas regularmente. A seguir, visualize os cenários comuns que exigem a configuração de listas de permissões de IP:

Se a sua instância ECS precisar acessar um cluster PolarDB for MySQL, visualize o endereço IP da instância ECS na página Instance Details e adicione-o à lista de permissões de IP.
Nota
- Se a sua instância ECS e o cluster PolarDB for MySQL estiverem na mesma VPC, insira o endereço IP privado da instância ECS ou o bloco CIDR da VPC.
- Se a sua instância ECS e o cluster PolarDB for MySQL não estiverem na mesma VPC, insira o endereço IP público da instância ECS ou adicione o grupo de segurança ao qual a instância ECS pertence. Também é possível migrar a instância ECS para a VPC do cluster PolarDB for MySQL e, em seguida, insira o endereço IP privado da instância ECS ou o bloco CIDR da VPC.
Se os seus servidores locais, computadores ou outros servidores em cloud precisarem acessar um cluster PolarDB, adicione seus endereços IP públicos à lista de permissões de IP.

Configure listas de permissões de IP

Acesse o console do PolarDB. No painel de navegação à esquerda, clique em Clusters. Selecione a Region onde o cluster está implantado e clique em ID do cluster para acessar a página de detalhes do cluster.
No painel de navegação à esquerda, escolha Settings and Management > Cluster Whitelists.
Na página Cluster Whitelists, clique em Add IP Whitelist ou em Modify para modifique um grupo da lista de permissões existente.
- Adicionar um grupo de listas de permissões de IP:
  
  Clique em Add IP Whitelist. Na caixa de diálogo Add IP Whitelist, insira o nome do grupo e os endereços IP com permissão para acessar o cluster.
- Configure um grupo de listas de permissões de IP:
  
  Clique em Modify à direita do nome do grupo da lista de permissões de IP desejado. Na caixa de diálogo Modify Whitelist, insira os endereços IP com permissão para acessar o cluster.
Nota
- O nome do grupo da lista de permissões de IP deve atender aos seguintes requisitos:
  
  Pode conter letras minúsculas, dígitos e sublinhados (_).
  
  Deve começar com uma letra e terminar com uma letra ou dígito.
  
  Deve ter de 2 a 120 caracteres.
- Para os endereços IP na lista de permissões:
  
  Insira um endereço IP (como 192.168.0.1) ou um bloco CIDR (como 192.168.0.0/24).
  
  Quando os pods em um cluster Kubernetes (como o ACK) acessam o cluster, os endereços IP dos pods mudam quando os contêineres são recriados. Defina o bloco CIDR ao qual os endereços IP dos pods pertencem em vez de um único endereço IP de pod. Por exemplo, se os endereços IP dos pods estiverem no intervalo 172.19.34.x, configure 172.19.34.0/24. Caso não tenha certeza do bloco CIDR, configure 172.19.0.0/16. Também é possível associar um grupo de segurança. As instâncias ECS no grupo de segurança são adicionadas automaticamente à lista de permissões.
  
  Separe vários endereços IP com vírgulas (,), por exemplo, 192.168.0.1,192.168.0.0/24.
  
  127.0.0.1 indica que nenhum endereço IP tem permissão para acessar o cluster.
  
  0.0.0.0/0 indica que qualquer endereço IP tem permissão para acessar o cluster de banco de dados. Essa configuração reduz significativamente a segurança do banco de dados. Não use essa configuração a menos que seja necessário.
- Cada cluster inclui um grupo padrão da lista de permissões de IP chamado default, contendo o endereço IP 127.0.0.1. Isso significa que nenhum endereço IP pode acessar o cluster.

Perguntas frequentes

Uma instância ECS não consegue se conectar a um cluster PolarDB

Solucione o problema da seguinte forma:

Verifique se o cluster PolarDB está no estado running.
Verifique se o endpoint do banco de dados, a porta, a conta e a senha estão corretos. Obtain the database endpoint and port.
Teste a conectividade de rede a partir da instância ECS usando ping <database endpoint> ou telnet <database endpoint> <port>.
1. Se você estiver usando um endpoint de private network:
  1. Verifique se a instância ECS e o cluster PolarDB estão na mesma VPC. Se não estiverem na mesma VPC, não será possível usar o endpoint de private network. Use uma das seguintes soluções para colocar a instância ECS e o cluster PolarDB na mesma VPC:
    - Altere a VPC da instância ECS.
    - Se o seu cluster for da Cluster Edition cluster, é possível switch the VPC of the cluster.
    - Use o Cloud Enterprise Network (CEN) para ative communication between VPCs in the same region.
  2. Verifique se o endereço IP privado, o intervalo de endereços IP ou o grupo de segurança da instância ECS foi adicionado à cluster whitelist.
2. Se você estiver usando um endpoint de public network, verifique se o endereço IP público ou o grupo de segurança da instância ECS foi adicionado à cluster whitelist.

Nota

Hosts virtuais e servidores do Simple Application Server não podem se conectar ao PolarDB por meio de um endpoint de private network.

Um ambiente local não consegue se conectar a um cluster PolarDB

Solucione o problema da seguinte forma:

Verifique se o cluster PolarDB está no estado running.
Verifique se o endpoint do banco de dados, a porta, a conta e a senha estão corretos. Obtain the database endpoint and port.

Nota
O endpoint do banco de dados deve ser um endpoint de public network. Se você estiver usando uma instância ECS que está na mesma VPC do cluster PolarDB, poderá usar um endpoint de private network.
Teste a conectividade de rede a partir do seu ambiente local usando ping <database endpoint> ou telnet <database endpoint> <port>.
Verifique se o endereço IP público ou o intervalo de endereços IP do seu ambiente local foi adicionado à cluster whitelist.
Obtenha o seu endereço IP público:
- Sistema operacional Linux: Abra o terminal e execute o comando curl ifconfig.me.
- Sistema operacional Windows: Abra o prompt de comando e execute o comando curl ip.me.
- Sistema operacional macOS: Abra o terminal e execute o comando curl ifconfig.me.
Se o ambiente de rede local usar um servidor proxy ou tiver outras configurações semelhantes, o endereço IP obtido com os métodos anteriores pode não ser o seu endereço IP público real. Adicione o intervalo de endereços IP 0.0.0.0/0 à lista de permissões do cluster PolarDB. Após se conectar corretamente ao cluster, execute o comando SHOW PROCESSLIST; para obter o endereço IP público real e adicione-o à lista de permissões do cluster. Em seguida, remova o intervalo de endereços IP 0.0.0.0/0 da lista de permissões.

Não é possível conectar a um cluster PolarDB com o erro "Can't connect to MySQL server on 'xxx'" ou "Connection timed out"

Provavelmente, o endereço IP público ou o intervalo de endereços IP do seu ambiente não está na lista de permissões do cluster PolarDB, ou o endereço IP inserido está incorreto.

Obtenha o seu endereço IP público:

Sistema operacional Linux: Abra o terminal e execute o comando curl ifconfig.me.
Sistema operacional Windows: Abra o prompt de comando e execute o comando curl ip.me.
Sistema operacional macOS: Abra o terminal e execute o comando curl ifconfig.me.

Se o ambiente de rede local usar um servidor proxy ou tiver outras configurações semelhantes, o endereço IP obtido com os métodos anteriores pode não ser o seu endereço IP público real. Adicione o intervalo de endereços IP 0.0.0.0/0 à lista de permissões do cluster PolarDB. Após se conectar corretamente ao cluster, execute o comando SHOW PROCESSLIST; para obter o endereço IP público real e adicione-o à lista de permissões do cluster. Em seguida, remova o intervalo de endereços IP 0.0.0.0/0 da lista de permissões.

Após remover um endereço IP de uma lista de permissões, as conexões existentes são desconectadas?

Não. A lista de permissões é verificada apenas quando uma nova conexão é estabelecida. Após a remoção de um endereço IP, as conexões existentes não são afetadas, mas novas conexões são bloqueadas. Para desconectar as conexões existentes, encerre as sessões manualmente.

Como soluciono problemas de conexões de endereços IP desconhecidos?

Se você descobrir conexões de endereços IP desconhecidos, siga estas etapas para identificar a source do IP:

Acesse o console do PolarDB, acesse a página de detalhes do cluster e escolha Settings and Management>Cluster Whitelists.
Verifique cada grupo da lista de permissões na lista de IP em busca de endereços IP desconhecidos ou de uma entrada 0.0.0.0/0.0.0.0.0/0 indica que qualquer endereço IP tem permissão para acessar o cluster de banco de dados. Essa configuração reduz significativamente a segurança do banco de dados. Não use essa configuração a menos que seja necessário.
hdm_security_ips(lista de permissões de IP para o DAS),ali_dms_group(lista de permissões de IP para o DMS) e outros grupos do sistema contêm endereços IP dos serviços internos de monitoramento e verificação de integridade do Alibaba Cloud. Esse é o comportamento esperado.
Confirme a source do endereço IP desconhecido antes de tomar qualquer medida. A exclusão acidental de endereços IP de grupos do sistema pode causar mau funcionamento do monitoramento e de outros recursos dos serviços relacionados.

Para obter mais informações sobre problemas de lista de permissões de IP, consulte Troubleshoot IP whitelist issues.

Referências

Set up a global IP whitelist template: Um modelo global de lista de permissões de IP permite manter um único conjunto de modelos de lista de permissões de IP que se aplicam dinamicamente a todos os clusters PolarDB associados.
Configure a security group: Após a adição de um grupo de segurança, as instâncias ECS no grupo de segurança são adicionadas automaticamente à lista de permissões do cluster PolarDB e mantidas atualizadas. Isso elimina a necessidade de atualize manualmente a lista de permissões do cluster PolarDB após a adição de novas instâncias ECS.

Operações de API relacionadas

API	Descrição
DescribeDBClusterAccessWhitelist	Consulta os endereços IP com permissão para acessar um cluster PolarDB for MySQL especificado.
ModifyDBClusterAccessWhitelist	modifique os endereços IP com permissão para acessar um cluster PolarDB for MySQL especificado.