Configure security group rules - Cloud-native API Gateway - API Gateway

Cloud-native API Gateway ve arka uç hizmetleriniz farklı güvenlik gruplarında bulunabilir. Ağ geçidinin arka uç hizmetlerinize erişmesine izin vermek için güvenlik grubu kuralları ekleyin.

Arka plan

Güvenlik grubu; durum bilgisi içeren paket denetimi ve filtreleme yoluyla ECS örnekleri ve ENI'ler için gelen ve giden trafiği kontrol eden sanal bir güvenlik duvarıdır. Buluttaki güvenlik alanlarını izole etmek için güvenlik grubu kurallarını yapılandırın. Güvenlik grubuna genel bakış.

Cloud-native API Gateway örneği oluştururken bir VPC ve güvenlik grubu türü seçersiniz. Arka uç hizmetinizle aynı türü seçin. Ağ geçidi, örnek düğümleri için yönetilen bir güvenlik grubu oluşturur. Ağ geçidi ve arka uç hizmet düğümleri farklı güvenlik gruplarında bulunduğundan, gerekli bağlantı noktası aralıklarında ağ geçidi erişimine izin vermek için arka uç hizmetinin güvenlik grubuna bir kural eklemeniz gerekir.

Aşağıdaki şekilde, Cloud-native API Gateway'nin güvenlik gruplarını kullanarak ağ erişimini nasıl kontrol ettiği ve trafiği nasıl yönlendirdiği gösterilmektedir:

Bir istemci, Cloud-native API Gateway üzerinden dahili ağa bir istek gönderir.
Ağ geçidi, yönlendirme kurallarına göre trafiği service-sg1 ve service-sg2 güvenlik gruplarına yönlendirir.
service-sg1 içindeki pod, 8080 numaralı bağlantı noktasındaki istekleri işler.
service-sg2 içindeki ECS örneği, 80 ile 9000 arasındaki bağlantı noktalarındaki istekleri işler.

Adım 1: Güvenlik grubunu bulun

Cloud-native API Gateway için arka uç hizmetleri genellikle Container Service for Kubernetes (ACK) veya ECS örneklerinde dağıtılır. Arka uç hizmetinizin güvenlik grubu kimliğini bulun.

Container Service (ACK)

ACK konsolu üzerinde oturum açın. Sol gezinme bölmesinde Clusters öğesine tıklayın.
Clusters sayfasında kümenizin adına tıklayın. Sol gezinme bölmesinde Nodes > Node Pools seçeneklerini belirleyin.
Node Pools sayfasında hedef düğüme tıklayın ve ardından güvenlik grubu kimliğini bulmak için Basic Information sekmesine tıklayın.

ECS örneği

ECS konsolu üzerinde oturum açın.
Sol taraftaki gezinme bölmesinde Instances & Images > Instance yolunu izleyin.
Instances sayfasında hedef ECS örneğine tıklayın ve ardından güvenlik grubu kimliğini bulmak için Security Groups sekmesine tıklayın.

Adım 2: Güvenlik grubu kuralı ekleyin

API Gateway konsolu üzerinde oturum açın.
Sol taraftaki gezinme bölmesinde Cloud-native API Gateway > Instance yolunu izleyin. Üst gezinme çubuğunda bir bölge seçin.
Instance sayfasında hedef örnek kimliğine tıklayın.
Sol taraftaki gezinme bölmesinde Overview öğesine tıklayın ve ardından Security Group Authorizations sekmesine tıklayın.
Add Security Group Rule seçeneğine tıklayın. Security Group ID metin kutusuna 1. Adımdaki güvenlik grubu kimliğini yapıştırın ve ardından güvenlik grubunu seçin.
Güvenlik grubu yetkilendirmesi için Port Range değerini girin: Başlangıç bağlantı noktası/Bitiş bağlantı noktası.

Birden fazla bağlantı noktası aralığı girebilirsiniz. Her aralıktan sonra Enter tuşuna basın.
Save seçeneğine tıklayın.
- Cloud-native API Gateway ilgili kuralı oluşturur.
- Kural, hedef düğümün güvenlik grubunda da görünür.

Güvenlik grubu kuralını silin

API Gateway konsolu üzerinde oturum açın.
Sol taraftaki gezinme bölmesinde Cloud-native API Gateway > Instance yolunu izleyin. Üst gezinme çubuğunda bir bölge seçin.
Instance sayfasında hedef örnek kimliğine tıklayın.
Security Group Authorizations sekmesine tıklayın. Silmek istediğiniz kuralı bulun, Actions sütunundaki Delete seçeneğine tıklayın ve ardından OK seçeneğine tıklayın.

Önemli

Varsayılan olarak yalnızca ağ geçidinin güvenlik grubu kuralı silinir. Gelen kuralı hedef düğümün güvenlik grubundan da kaldırmak için The preceding inbound rules in the security group are also deleted seçeneğini işaretleyin.

SSS

Kural eklendikten sonra hizmete erişilemiyor

Aşağıdakileri kontrol edin:

Kuralı doğru güvenlik grubuna ekleyip eklemediğinizi kontrol edin.

Örneğin, hizmet A Düğümünde çalışıyor ancak kural B Düğümünün güvenlik grubuna eklenmiş olabilir.
Hedef düğümün birden fazla güvenlik grubuna ait olup olmadığını kontrol edin.

Durum böyleyse yetkilendirme kuralını her bir güvenlik grubuna ekleyin.

Daha önce erişilebilen hizmet artık çalışmıyor

Aşağıdakileri kontrol edin:

Hizmetinizin doğru çalıştığını doğrulayın.

Bağlantıyı doğrulamak için aynı güvenlik grubundaki başka bir düğümden curl komutunu çalıştırın.
Hizmetinizin sunduğu bağlantı noktasının değişip değişmediğini kontrol edin.

Örneğin, hizmet 8080 numaralı bağlantı noktasından 8081'e taşındıysa ancak kural yalnızca 8080'i kapsıyorsa erişim başarısız olur. Bunu önlemek için 1-65535 gibi daha geniş bir bağlantı noktası aralığı kullanın.