Smart Access Gateway:Acesse o OSS internamente com SAG e CEN

Pré-requisitos

• Uma VPC criada na região China (Shanghai). Criar e gerenciar uma VPC.

• Uma instância CEN criada com a VPC anexada. Criar uma instância CEN, Criar um transit router e Criar uma conexão de VPC.

Contexto

Os serviços em nuvem são produtos da Alibaba Cloud que utilizam o bloco CIDR 100.64.0.0/10, como OSS, SLS e DTS. Você pode conectar usuários locais por meio do SAG e acessar esses serviços pelo CEN.

O OSS é um serviço de armazenamento em nuvem escalável. O acesso pela rede interna entre serviços da Alibaba Cloud na mesma região é gratuito. Neste tutorial, uma empresa possui uma VPC em China (Shanghai) e utiliza o OSS na mesma região para armazenar dados não sensíveis. Os funcionários precisam acessar esses dados pela rede interna; portanto, a empresa usa o SAG App para conectá-los à Alibaba Cloud.

Fluxo de trabalho

Etapa 1: Implantar e configurar o OSS

Este tutorial implanta o OSS pelo console. O que é o Object Storage Service?.

1. Ative o OSS. Ativar o OSS.

2. Crie um bucket.

   1. Faça logon no console do OSS.

   2. No painel de navegação à esquerda, clique em Buckets e, em seguida, clique em Create Bucket.

   3. Na página Create Bucket, configure os parâmetros do bucket e clique em Create.

      Parâmetros utilizados neste tutorial. Criar um bucket.

      Parâmetro	Descrição
      Bucket name	Insira um nome para o bucket. Não é possível alterar o nome após a criação. Neste exemplo, utiliza-se shosstest .
      Region	A região do bucket. Não é possível alterá-la após a criação. Neste exemplo, selecione China (Shanghai) .
      Storage class	A classe de armazenamento do bucket. Neste exemplo, selecione Standard . O armazenamento padrão oferece armazenamento de objetos de alto desempenho para acesso frequente a dados, adequado para redes sociais, grandes sites e análise de big data. Visão geral das classes de armazenamento.
      Redundancy type	O tipo de redundância de dados para o bucket. LRS O armazenamento localmente redundante (LRS) armazena cópias de dados em vários dispositivos dentro de uma única zona de disponibilidade, garantindo durabilidade e disponibilidade dos dados contra falhas de hardware. ZRS O armazenamento redundante por zona (ZRS) armazena cópias de dados em várias zonas de disponibilidade na mesma região. Isso mantém seus dados acessíveis caso uma zona de disponibilidade falhe. Importante O ZRS é compatível nas regiões China (Shenzhen), China (Beijing), China (Hangzhou), China (Shanghai), China (Hong Kong), Singapura e Indonésia (Jacarta). O ZRS tem custo mais elevado que o LRS e não pode ser desativado após a ativação. Tenha cuidado ao ativar esse recurso. Neste exemplo, selecione LRS.
      ACL	A ACL do bucket. Neste exemplo, selecione Private . Somente o proprietário do bucket pode ler e gravar objetos. Outros usuários não têm acesso.
      Versioning	Especifica se o versionamento deve ser ativado. Neste exemplo, selecione Enable . O versionamento armazena objetos substituídos ou excluídos como versões históricas, permitindo restaurar qualquer versão anterior. Visão geral do versionamento.
      Encryption Method	Criptografia no lado do servidor. Neste exemplo, selecione None .
      Real-time Log Query	Consulta de logs em tempo real para o OSS. Neste exemplo, selecione Disable .
      Scheduled backup	Se desejar fazer backup dos dados do OSS conforme uma programação, ative este recurso. O Cloud Backup realiza um backup diário e retém os arquivos por uma semana. Neste exemplo, selecione Disable .

3. Faça upload de um objeto.

   1. No painel de navegação à esquerda, clique em Buckets . Na coluna Bucket Name , clique no nome do bucket desejado.

   2. No painel de navegação à esquerda, escolha Object Management > Objects.

   3. Clique em Upload Object .

   4. Na página Upload Object, configure os parâmetros de upload.

      • Upload To : O caminho de armazenamento após o upload. Neste exemplo, utiliza-se o padrão.

      • Object ACL : A ACL do objeto. Padrão: Inherited from Bucket . Neste exemplo, utiliza-se o padrão.

      • Files to Upload: Selecione arquivos ou pastas para upload. Clique em Select Files ou Select Folders, ou arraste e solte arquivos nesta área. Para remover um arquivo, clique em Remove.

   5. Clique em Upload Object. No painel Task List , aguarde a conclusão do upload e feche o painel Task List .

4. Configure as permissões do objeto.

   Para garantir a segurança dos dados, os recursos do OSS neste tutorial estão definidos como privados. Conceda permissões de acesso para permitir que usuários específicos acessem recursos específicos do OSS. As etapas a seguir concedem permissão somente leitura de uma imagem para todos os usuários. Conceder permissões em recursos específicos usando uma política de bucket.

   1. No painel de navegação à esquerda, clique em Buckets . Na coluna Bucket Name , clique no nome do bucket desejado.

   2. No painel de navegação à esquerda, escolha Object Management > Objects.

   3. Clique em Authorize .

   4. Na página Bucket Policy , clique em Authorize .

   5. No painel Authorize , configure os seguintes parâmetros e clique em OK .

      • Applied To : Neste exemplo, selecione Specified Resource .

      • Resource Paths : Neste exemplo, insira SHOSS.jpg.

      • Authorized User : Neste exemplo, selecione All Accounts (*) .

      • Authorized Operation : Neste exemplo, selecione Read-Only (excluding ListObject) .

Etapa 2: Conectar clientes à Alibaba Cloud

Adquira uma instância do SAG App, configure a rede e crie contas de cliente no console do SAG. Assim, os clientes locais poderão se conectar à Alibaba Cloud por meio do cliente SAG.

1. Adquira uma instância do SAG App.

   1. Faça logon no console do SAG.

   2. No painel de navegação à esquerda, escolha Smart Access Gateway App > SAG App Instances.

   3. Na página Smart Access Gateway App, clique em Create SAG App e configure os seguintes parâmetros.

      • RegionRegion: A região onde o cliente SAG será utilizado. Neste exemplo, selecione China (Shanghai) .

      • Number of monthly active terminalsNumber of Client Accounts: O número máximo de contas de cliente. Crie uma conta para cada usuário. Neste exemplo, utiliza-se o valor padrão de 10.

        Nota

        É possível adquirir de 5 a 1.000 contas de cliente. As contas de cliente seguem um modelo de preços escalonado. Faturamento de instâncias do SAG App.

      • Data Plan Per Account: Transferência de dados gratuita por conta, por mês. Não é compartilhável nem acumulativa. Padrão: 5 GB/mês.

      • Billing Method When Data Plan is Exhausted: Excedentes após o plano gratuito são faturados no modelo de pagamento conforme o uso.

      • Subscription Period: A duração da assinatura do plano de dados para cada conta, medida em meses. Há suporte para renovação automática. Neste exemplo, utiliza-se o valor padrão de 1 Month.

   4. Clique em Buy Now, confirme o pedido e conclua o pagamento.

2. Configure a rede.

   Após a compra, configure a rede do SAG App especificando um bloco CIDR privado e vinculando-o a uma instância CCN.

   O CCN é um componente essencial do SAG. Após o vínculo, os clientes locais associados à instância SAG podem acessar a Alibaba Cloud por meio da instância CCN. O que é CCN?.

   1. Na página Smart Access Gateway App, localize a instância criada e clique em Quick Configuration na coluna Operation.

   2. Na página Quick Configuration, configure a rede.

      • CCN Instance ID/Name: É possível vincular uma instância CCN de duas maneiras. Neste exemplo, selecione Create CCN .

        • Existing CCN : Caso já possua uma instância CCN, selecione-a na lista suspensa.

        • Create CCN : Se não houver uma instância CCN, insira um nome. O sistema cria automaticamente uma instância CCN na região atual e a vincula.

      • Opcional:Standby and Active DNS: Este parâmetro é opcional. Personalize os servidores DNS primário e de backup para a instância do SAG App. O sistema envia a configuração para os clientes automaticamente. Neste exemplo, o parâmetro permanece vazio.

      • Private CIDR Block: Configure o bloco CIDR privado para os clientes. O sistema atribui um endereço IP desse bloco a cada conexão. Certifique-se de que os blocos CIDR não se sobreponham. Neste exemplo, utiliza-se 192.168.10.0/24.

3. Associe a uma instância CEN.

   Vincule a instância CCN ao CEN. Após o vínculo, os clientes locais podem acessar o serviço em nuvem OSS por meio do CEN.

   1. Clique em Next: Associate with a CEN (optional) para vincular a uma instância CEN.

   2. É possível vincular a uma instância CEN de duas maneiras. Este tutorial utiliza uma instância CEN existente para permitir que os clientes se comuniquem com recursos em nuvem. Selecione Existing CEN e escolha sua instância CEN.

      • Existing CEN: Caso já possua uma instância CEN, selecione-a na lista suspensa.

      • Create CEN: Se não houver uma instância CEN, insira um nome. O sistema cria automaticamente uma instância CEN e a vincula.

4. Crie contas de cliente.

   Crie contas de cliente. Os usuários fazem logon no cliente SAG com essas credenciais para se conectar à rede interna.

   1. Clique em Next: Create a client account para configurar as contas de cliente.

      • Username: Este parâmetro é opcional.

        Nota

        • Os nomes de usuário das contas de cliente dentro da mesma instância do SAG App devem ser exclusivos.

        • Se você fornecer apenas um endereço de e-mail, o sistema gera um nome de usuário e uma senha automaticamente, utilizando o e-mail como nome de usuário.

      • Email Address: Este parâmetro é obrigatório. O endereço de e-mail para receber as informações da conta.

      • Static IP:

        • Ao ativar este recurso, especifique um endereço IP para o cliente. A conta sempre usará esse endereço IP para acessar a Alibaba Cloud.

          Nota

          O endereço IP especificado deve estar dentro do bloco CIDR privado.

        • Ao desativar este recurso, o sistema atribui um endereço IP do bloco CIDR privado a cada conexão.

      • Set Maximum Bandwidth: Largura de banda máxima por conta. Neste exemplo, utiliza-se o padrão.

        Intervalo válido: 1-2.000 Kbps. Padrão: 2.000 Kbps.

      • Set Password: Este parâmetro é opcional. Defina a senha para login do cliente.

   2. Clique em Confirm Creation.

      Importante

      • Se não existir nenhuma conexão inter-regional, crie uma entre o transit router da região da VPC e o transit router da instância CCN. Criar uma conexão inter-regional.

      • Caso já exista uma conexão inter-regional, prossiga para a próxima etapa.

5. Conecte o cliente à Alibaba Cloud.

   1. Após a configuração, clique em Download Now para baixar e instalar o cliente. Instalar o cliente.

   2. Após a instalação, os funcionários fazem logon com suas credenciais para se conectar à rede interna. Conectar-se à rede interna.

   Após uma conexão bem-sucedida, o status do cliente mostra que a Internal Network Connection foi estabelecida. O limite de largura de banda é de 2,0 Mbps. Clique em Disconnect para encerrar a conexão.

Etapa 3: Configurar rotas para o OSS

Configure rotas para o OSS no console do CEN. Após a configuração, o CEN roteia o tráfego da rede associada ao CCN para o OSS, permitindo que clientes locais acessem o OSS.

1. Faça logon no console do CEN.

2. Clique no ID da instância CEN desejada.

3. Na aba Basic Information > Transit Router, localize o transit router que está na mesma região do serviço em nuvem e clique em seu ID.

4. Na página de detalhes do transit router, clique na aba Route Table.

5. Na aba Route Table, selecione a tabela de rotas desejada na lista à esquerda. Na aba Route Entry da seção Route Table Details, clique em Add Route Entry.

6. Na caixa de diálogo Add Route Entry, configure os seguintes parâmetros e clique em OK.

   Parâmetro	Descrição
   Route Table	A tabela de rotas atual é selecionada por padrão.
   Transit Router ID	A instância atual do transit router é selecionada por padrão.
   Name	Insira um nome para a entrada de rota.
   Destination CIDR	Insira o endereço IP ou o bloco CIDR do serviço em nuvem. Por exemplo, insira os blocos CIDR de serviço para o OSS na região China (Shanghai): 100.98.35.0/24 100.98.110.0/24 100.98.169.0/24 100.118.102.0/24 Nota Recomendamos adicionar todos os blocos CIDR de serviço da região à entrada de rota.
   Blackhole Route	Define se uma rota blackhole deve ser configurada: Yes: Trata-se de uma rota blackhole. Todo o tráfego correspondente a esta rota é descartado. No: Não é uma rota blackhole. É necessário especificar um próximo salto para a rota. Neste tutorial, selecione No.
   Next Hop	Selecione o próximo salto para a entrada de rota. Selecione o ID de conexão da instância de VPC anexada ao transit router.
   Description	Insira uma descrição para a entrada de rota.

Etapa 4: Testar a conexão

Após concluir as etapas anteriores, os clientes locais podem se conectar à rede interna por meio do cliente SAG e acessar recursos do OSS.

Por exemplo, em um navegador, use a URL interna https://shosstest.oss-cn-shanghai-internal.aliyuncs.com/SHOSS.jpg para baixar a imagem SHOSS.jpg que você enviou.

• O formato da URL para acessar um arquivo é: https://<bucket-name>.<vpc-endpoint>/<object-name>.

• Para encontrar o endpoint de VPC da sua região, consulte Acessar o OSS usando endpoints e nomes de domínio de bucket.