Configurar listas de permissões para um cluster - PolarDB: Central de Documentação do Alibaba Cloud

Uma lista de permissões de IP contém endereços IP ou grupos de segurança autorizados a acessar um cluster do PolarDB for MySQL. Após a criação do cluster, apenas os endereços IP do seu ambiente local ou instâncias ECS adicionados às listas de permissões podem acessá-lo.

Precauções

O PolarDB não obtém automaticamente os endereços IP privados de instâncias ECS em Virtual Private Clouds (VPCs). Para usar o endereço IP privado de uma instância ECS no acesso a um cluster do PolarDB for MySQL, adicione manualmente esse endereço à lista de permissões de IP do cluster.
Configure listas de permissões de endereços IP e definições de grupo de segurança para uma instância RDS. As instâncias ECS presentes na lista de permissões de IP e as instâncias ECS do grupo de segurança adicionado à lista de permissões do cluster podem acessar o cluster do PolarDB for MySQL.
As listas de permissões ali_dms_group (para Data Management), hdm_security_ips (para Database Autonomy Service) e dtspolardb (para Data Transmission Service) são criadas automaticamente ao utilizar os serviços correspondentes. Para garantir o funcionamento adequado dos serviços, não modifique nem exclua essas listas de permissões de IP.

Importante
Não adicione seus endereços IP de serviço a essas listas de permissões de IP. Caso contrário, os endereços IP de serviço poderão ser sobrescritos durante atualizações dos serviços relacionados, causando possível interrupção do serviço.
Cada cluster aceita até 50 listas de permissões de endereços IP, com um total de até 1.000 endereços IP ou blocos CIDR distribuídos entre elas.

Cenários

Uma lista de permissões contém endereços IP ou grupos de segurança autorizados a acessar um cluster do PolarDB for MySQL. Configure uma lista de permissões de IP para reforçar a segurança do cluster. Recomendamos atualizar a lista de permissões de IP regularmente. Na maioria dos casos, configure-a nos seguintes cenários:

Para conectar uma instância ECS a um cluster do PolarDB for MySQL, localize os endereços IP da instância ECS na página Instance Details e adicione um desses endereços à lista de permissões de IP do cluster.
Nota
- Se a instância ECS e o cluster do PolarDB for MySQL estiverem na mesma VPC, adicione o endereço IP privado da instância ECS ou o bloco CIDR da VPC à qual a instância pertence à lista de permissões.
- Se a instância ECS e o cluster do PolarDB for MySQL não estiverem na mesma VPC, adicione o endereço IP público da instância ECS ou o grupo de segurança ao qual ela pertence à lista de permissões. Também é possível migrar a instância ECS para a VPC do cluster do PolarDB for MySQL e, em seguida, adicionar o endereço IP privado da instância ECS ou o bloco CIDR da VPC correspondente à lista de permissões.
Para conectar servidores locais, computadores ou outras instâncias de nuvem ao cluster do PolarDB, adicione os endereços IP públicos relevantes à lista de permissões de IP do cluster.

Procedimento

Faça login no console do PolarDB. Clique em Clusters no painel de navegação à esquerda. Selecione uma região no canto superior esquerdo e clique no ID do cluster que deseja gerenciar para acessar a página Basic Information.
No painel de navegação à esquerda, escolha Settings and Management > Whitelists.
Na página Whitelists, clique em Add IP Whitelist para adicionar uma lista de permissões de IP ou em Modify para modificar uma lista existente.
- Adicionar uma lista de permissões de IP
  
  Clique em Add IP Whitelist. No painel Add IP Whitelist, especifique o nome da lista de permissões de IP e insira os endereços IP autorizados a acessar o cluster.
- Modificar uma lista de permissões de IP
  
  À direita do nome de uma lista de permissões de IP, clique em Modify. No painel Modify Whitelist, insira os endereços IP autorizados a acessar o cluster.
Nota
- O nome da lista de permissões de IP deve atender aos seguintes requisitos:
  
  Pode conter letras minúsculas, dígitos e sublinhados (_).
  
  Deve começar com uma letra e terminar com uma letra ou dígito.
  
  Deve ter entre 2 e 120 caracteres.
- Para os endereços IP na lista de permissões:
  
  Insira endereços IP e blocos CIDR. Por exemplo, insira o endereço IP 192.168.0.1 e o bloco CIDR 192.168.0.0/24.
  
  Ao adicionar vários endereços IP ou blocos CIDR, separe-os por vírgulas (,), por exemplo, 192.168.0.1,192.168.0.0/24.
  
  127.0.0.1 indica que nenhum endereço IP está autorizado a acessar o cluster.
  
  0.0.0.0/0 indica que qualquer endereço IP está autorizado a acessar o cluster. Para garantir a segurança da sua instância de banco de dados, recomendamos não adicionar esse endereço à lista de permissões, a menos que seja necessário.
- Uma lista de permissões de IP default contendo apenas o endereço IP 127.0.0.1 é criada automaticamente para cada cluster. Essa lista bloqueia todos os endereços IP.

FAQ

Uma instância ECS não consegue se conectar a um cluster do PolarDB

Siga estas etapas de solução de problemas:

Verifique se o cluster do PolarDB está no estado running.
Confirme se o endpoint do banco de dados, a porta, a conta e a senha estão corretos. Obter o endpoint e a porta do banco de dados.
Teste a conectividade de rede a partir da instância ECS usando ping <database endpoint> ou telnet <database endpoint> <port>.
1. Se estiver usando um endpoint de private network:
  1. Verifique se a instância ECS e o cluster do PolarDB estão na mesma VPC. Se não estiverem na mesma VPC, não será possível usar o endpoint de private network. Utilize uma das soluções a seguir para colocar a instância ECS e o cluster do PolarDB na mesma VPC:
    - Altere a VPC da instância ECS.
    - Se o seu cluster for um cluster da Cluster Edition, você pode alterar a VPC do cluster.
    - Use a Cloud Enterprise Network (CEN) para habilitar a comunicação entre VPCs na mesma região.
  2. Verifique se o endereço IP privado, o intervalo de endereços IP ou o grupo de segurança da instância ECS foi adicionado à lista de permissões do cluster.
2. Se estiver usando um endpoint de public network, verifique se o endereço IP público ou o grupo de segurança da instância ECS foi adicionado à lista de permissões do cluster.

Nota

Hosts virtuais e Simple Application Servers não conseguem se conectar ao PolarDB por meio de um endpoint de private network.

Um ambiente local não consegue se conectar a um cluster do PolarDB

Siga estas etapas de solução de problemas:

Verifique se o cluster do PolarDB está no estado running.
Confirme se o endpoint do banco de dados, a porta, a conta e a senha estão corretos. Obter o endpoint e a porta do banco de dados.

Nota
O endpoint do banco de dados deve ser um endpoint de public network. Se estiver usando uma instância ECS que esteja na mesma VPC do cluster do PolarDB, use um endpoint de private network.
Teste a conectividade de rede a partir do seu ambiente local usando ping <database endpoint> ou telnet <database endpoint> <port>.
Verifique se o endereço IP público ou o intervalo de endereços IP do seu ambiente local foi adicionado à lista de permissões do cluster.
Obtenha seu endereço IP público:
- Sistema operacional Linux: Abra o terminal e execute o comando curl ifconfig.me.
- Sistema operacional Windows: Abra o prompt de comando e execute o comando curl ip.me.
- Sistema operacional macOS: Abra o terminal e execute o comando curl ifconfig.me.
Se o seu ambiente de rede local usar um servidor proxy ou tiver outras configurações semelhantes, o endereço IP obtido pelos métodos acima pode não ser o seu verdadeiro endereço IP público. Adicione o intervalo de endereços IP 0.0.0.0/0 à lista de permissões do cluster do PolarDB. Após conectar-se com êxito ao cluster, execute o comando SHOW PROCESSLIST; para obter o verdadeiro endereço IP público e adicione-o à lista de permissões do cluster. Em seguida, remova o intervalo de endereços IP 0.0.0.0/0 da lista de permissões.

Impossível conectar-se a um cluster do PolarDB com o erro "Can't connect to MySQL server on 'xxx'" ou "Connection timed out"

Provavelmente o endereço IP público ou o intervalo de endereços IP do seu ambiente não está na lista de permissões do cluster do PolarDB, ou o endereço IP inserido está incorreto.

Obtenha seu endereço IP público:

Sistema operacional Linux: Abra o terminal e execute o comando curl ifconfig.me.
Sistema operacional Windows: Abra o prompt de comando e execute o comando curl ip.me.
Sistema operacional macOS: Abra o terminal e execute o comando curl ifconfig.me.

Se o seu ambiente de rede local usar um servidor proxy ou tiver outras configurações semelhantes, o endereço IP obtido pelos métodos acima pode não ser o seu verdadeiro endereço IP público. Adicione o intervalo de endereços IP 0.0.0.0/0 à lista de permissões do cluster do PolarDB. Após conectar-se com êxito ao cluster, execute o comando SHOW PROCESSLIST; para obter o verdadeiro endereço IP público e adicione-o à lista de permissões do cluster. Em seguida, remova o intervalo de endereços IP 0.0.0.0/0 da lista de permissões.

Para mais informações, consulte Solucionar problemas relacionados a uma lista de permissões de IP.

Referências

Configurar um modelo global de lista de permissões de IP: Configure um conjunto de modelos de lista de permissões de IP para gerenciar as listas de permissões de todos os clusters do PolarDB associados ao modelo.
Configurar um grupo de segurança: Após adicionar um grupo de segurança, todas as instâncias ECS desse grupo são incluídas na lista de permissões do cluster do PolarDB. As alterações no grupo de segurança são sincronizadas automaticamente com a lista de permissões. Não é necessário modificar a lista de permissões do cluster do PolarDB quando novas instâncias ECS forem adicionadas ao grupo de segurança.

Operações de API relacionadas

API	Descrição
DescribeDBClusterAccessWhitelist	Consulta os endereços IP autorizados a acessar um cluster específico do PolarDB for MySQL.
ModifyDBClusterAccessWhitelist	Modifica os endereços IP autorizados a acessar um cluster específico do PolarDB for MySQL.