O VPC utiliza um modelo de segurança em camadas para proteger seus recursos na nuvem. Esta página aborda isolamento de rede, controle de tráfego nos níveis de instância e sub-rede, e gerenciamento de acesso com políticas do RAM.
Como funciona o isolamento de rede
Cada VPC é uma rede privada logicamente isolada. A tecnologia de túnel separa os VPCs entre si: cada VPC recebe um ID de túnel exclusivo, e os pacotes de dados são encapsulados com esse ID antes de serem transmitidos pela rede física entre as instâncias do Elastic Compute Service (ECS) no VPC. Como pacotes de VPCs diferentes carregam IDs de túnel distintos, as instâncias do ECS em VPCs separados não se comunicam entre si por padrão.
Use VPCs separados para isolar cargas de trabalho com requisitos de segurança distintos, como ambientes de produção e desenvolvimento ou unidades de negócios diferentes.
Recursos de controle de tráfego
O VPC oferece quatro recursos para controlar o tráfego em diferentes camadas da sua rede.
Grupo de segurança do ECS
Os grupos de segurança atuam como firewalls virtuais no nível da instância. Eles fornecem inspeção de pacotes com estado (SPI) e filtragem de pacotes, permitindo definir domínios de segurança na nuvem. Configure regras de entrada e saída para controlar o tráfego de uma ou mais instâncias do ECS em um grupo. Para mais informações, consulte Visão geral dos grupos de segurança.
ACL de rede
As listas de controle de acesso à rede (ACLs) operam no nível da sub-rede. Crie regras de ACL de rede e associe a ACL a um vSwitch para controlar o tráfego de entrada e saída de todas as instâncias do ECS nesse vSwitch. Para mais informações, consulte Visão geral das ACLs de rede.
Log de fluxo
Os logs de fluxo capturam metadados de tráfego de entrada e saída de uma interface de rede elástica (ENI). Use os logs de fluxo para auditar regras de controle de acesso, monitorar a atividade da rede e solucionar problemas de conectividade. Para mais informações, consulte Visão geral dos logs de fluxo.
Espelhamento de tráfego
O espelhamento de tráfego copia os pacotes que passam por uma ENI e atendem a condições específicas de filtro, encaminhando-os para uma ENI designada ou uma instância interna do Classic Load Balancer (CLB). Use o espelhamento de tráfego para inspeção de conteúdo, monitoramento de ameaças e solução de problemas de rede. Para mais informações, consulte Visão geral do espelhamento de tráfego.
Gerenciar acesso com políticas do RAM
Use políticas do Resource Access Management (RAM) para controlar quem pode criar, visualizar e modificar recursos do VPC. Conceda permissões a um usuário do RAM, um grupo de usuários ou uma função do RAM.
Políticas integradas
Associe as políticas de sistema a seguir para conceder permissões padrão do VPC rapidamente.
| Política | Descrição |
|---|---|
| AliyunVPCFullAccess | Concede a um usuário do RAM as permissões para gerenciar VPCs |
| AliyunVPCReadOnlyAccess | Concede a um usuário do RAM permissões somente leitura em VPCs |
Para a lista completa de permissões do VPC, consulte Autorização do RAM (VPC). Para permissões de conexão de peering do VPC, consulte Autorização do RAM (conexão de peering do VPC).
Políticas personalizadas
Se as políticas integradas não atenderem aos seus requisitos, crie uma política personalizada do RAM para definir um conjunto de permissões mais granular. Para orientações, consulte Usar funções do RAM para gerenciar permissões do VPC.