Container Service for Kubernetes (ACK) kümeleri, kontrol düzlemi düğümleri ile çalışan düğümler arasındaki ağ trafiğini kontrol etmek için güvenlik gruplarını kullanır. Güvenlik grupları ayrıca düğümler, Virtual Private Cloud (VPC) kaynaklarınız ve harici IP adresleri arasındaki trafiği de denetler. Bir küme veya düğüm havuzu oluşturduğunuzda varsayılan olarak bir güvenlik grubu atanır. Mevcut bir güvenlik grubunu küme veya düğüm havuzuyla da ilişkilendirebilirsiniz. Mevcut bir güvenlik grubu kullanırsanız varsayılan olarak ek erişim kuralları yapılandırılmaz. Güvenlik grubu kurallarını kendiniz yönetmeli ve iyileştirmelisiniz.
Bir güvenlik grubuna, ECS örneklerinin genel veya özel ağ üzerinden erişimine izin vermek ya da reddetmek için kurallar ekleyebilirsiniz. Daha fazla bilgi için bkz. Güvenlik grubuna genel bakış ve Güvenlik grubu kuralı ekleme.
Önerilen gelen ve giden güvenlik grubu kuralları
Temel güvenlik grupları
Inbound Policies
|
Erişim kontrol kapsamı |
Protokol |
Bağlantı noktası |
Kaynak |
|
Önerilen ayarlar |
ICMP |
-1/-1 (tüm bağlantı noktaları) |
0.0.0.0/0 |
|
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
|
|
|
En az ayrıcalık ayarları |
Tüm protokoller |
53/53 (DNS) |
|
|
ICMP |
-1/-1 (tüm bağlantı noktaları) |
||
|
TCP |
|
||
|
TCP |
9082 |
Poseidon bileşeninin bağlantı noktası. Bu kural yalnızca bu bileşeni kullanıyorsanız gereklidir. |
|
|
Tüm protokoller |
Uygulamalarınızın veya bileşenlerinizin trafik alması için kullandığı bağlantı noktaları. |
Uygulamalarınıza veya bileşenlerinize erişim gerektiren kaynak IP adresleri veya güvenlik grupları. |
Outbound Policies
|
Erişim kontrol kapsamı |
Protokol |
Bağlantı noktası |
Hedef |
|
Önerilen ayarlar |
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
0.0.0.0/0 |
|
En az ayrıcalık ayarları |
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
100.64.0.0/10 (Alibaba Cloud hizmet CIDR bloğu) |
|
Tüm protokoller |
53/53 (DNS) |
|
|
|
TCP |
|
||
|
Tüm protokoller |
Uygulamalarınızın veya bileşenlerinizin erişmesi gereken hedef bağlantı noktaları. |
Uygulamalarınızın veya bileşenlerinizin erişmesi gereken hedef IP adresleri veya güvenlik grupları. |
Gelişmiş güvenlik grupları
Inbound Policies
|
Erişim kontrol kapsamı |
Protokol |
Bağlantı noktası |
Kaynak |
|
Önerilen ayarlar |
ICMP |
-1/-1 (tüm bağlantı noktaları) |
0.0.0.0/0 |
|
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
|
|
|
En az ayrıcalık ayarları |
Tüm protokoller |
53/53 (DNS) |
|
|
ICMP |
-1/-1 (tüm bağlantı noktaları) |
||
|
TCP |
|
||
|
TCP |
9082 |
Poseidon bileşeninin bağlantı noktası. Bu kural yalnızca bu bileşeni kullanıyorsanız gereklidir. |
|
|
Tüm protokoller |
Uygulamalarınızın veya bileşenlerinizin trafik alması gereken bağlantı noktaları. |
Uygulamalarınıza veya bileşenlerinize erişim gerektiren kaynak IP adresleri veya güvenlik grupları. |
Outbound Policies
|
Erişim kontrol kapsamı |
Protokol |
Bağlantı noktası |
Hedef |
|
Önerilen ayarlar |
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
0.0.0.0/0 |
|
En az ayrıcalık ayarları |
Tüm protokoller |
-1/-1 (tüm bağlantı noktaları) |
100.64.0.0/10 (Alibaba Cloud hizmet CIDR bloğu) |
|
Tüm protokoller |
53/53 (DNS) |
|
|
|
TCP |
|
||
|
Tüm protokoller |
Uygulamalarınızın veya bileşenlerinizin erişmesi gereken hedef bağlantı noktaları. |
Uygulamalarınızın veya bileşenlerinizin erişmesi gereken hedef IP adresleri veya güvenlik grupları. |
Güvenlik grubu silme korumasını devre dışı bırakın
Yanlışlıkla silinmeyi önlemek için ACK, kümelerle ilişkili tüm güvenlik grupları için varsayılan olarak silme korumasını etkinleştirir. ECS konsolunda bir güvenlik grubunu serbest bırakmaya çalıştığınızda bir hata ile karşılaşırsanız bu durum, ACK'nin söz konusu grup için silme korumasını etkinleştirdiğini gösterir.
Hata mesajında güvenlik grubu durumunun Cannot Be Deleted olduğu belirtilir. Bu durum, örneklerin hala güvenlik grubuyla ilişkili olduğunu gösterir. Güvenlik grubunu silebilmeniz için önce örnekleri güvenlik grubundan kaldırmanız gerekir.
Konsolda veya bir API işlemi çağırarak bir güvenlik grubu için silme korumasını manuel olarak devre dışı bırakamazsınız. ACK, güvenlik grubunu kullanan tüm kümeleri sildikten sonra korumayı otomatik olarak kaldırır. Korumayı devre dışı bırakmak için güvenlik grubunu kullanan tüm kümeleri belirlemeniz ve silmeniz gerekir. İlişkili kümeleri bulmak için şu adımları izleyin:
ACK konsolu üzerinde oturum açın. Sol gezinme bölmesinde Clusters öğesini tıklayın.
-
Clusters sayfasında bir kümenin adını tıklayın. Basic Information sekmesinde kümenin güvenlik grubunu görüntüleyin.
Güvenlik grubunu kullanan tüm kümeleri sildikten sonra güvenlik grubunu ECS konsolunda serbest bırakabilirsiniz. İşlem yine başarısız olursa Container Service ekibine destek talebi gönderin.
Bir güvenlik grubunun nasıl silineceği hakkında daha fazla bilgi için bkz. Güvenlik grubu silme.
Referanslar
Varsayılan izin veya reddet kuralları ve ad alanı yalıtımı gibi ağ güvenliği en iyi uygulamaları için bkz. Ağ güvenliği.
ECS örnekleri, Kubernetes podları ve Hizmetler için CIDR blokları dahil olmak üzere Kubernetes küme ağınızı nasıl planlayacağınızı öğrenmek için bkz. ACK yönetilen kümeleri için ağ planlama.