MaxCompute:IP adresi izin listelerini yönetme

Kimlik doğrulamaya ek olarak, MaxCompute geliştirilmiş güvenlik için bir IP adresi izin listesi yapılandırmanıza olanak tanır. Bu özellik etkinleştirildiğinde, yalnızca izin listesine eklenen IP adreslerinden gelen istekler kabul edilir. Geçerli bir AccessKey ID ve AccessKey Secret taşıyor olsalar bile diğer tüm istekler reddedilir.

• Cloud ürünleri arası bağlantı ağı için IP adresi izin listesi

  • Bir projeye erişmek için MaxCompute istemcisini kullanıyorsanız, MaxCompute istemcisinin yüklü olduğu cihazın IP adresini ekleyin.

  • Bir projeye erişmek için bir uygulama kullanıyorsanız, uygulamanın sunucusunun IP adresini izin listesine ekleyin.

  • Bir projeye proxy sunucu veya çok atlamalı proxy sunucu üzerinden erişiyorsanız, son atlama proxy sunucusunun IP adresini izin listesine ekleyin.

  • DataWorks kullanıyorsanız, DataWorks için özel kaynak grubunun IP adreslerini ve diğer ilgili IP adreslerini izin listesine ekleyin.

• VPC için IP adresi izin listesi

  VPC için IP adresi izin listesi yapılandırmadan önce aşağıdaki adımları tamamlayın:

  • VPC örnek kimliğini edinin.

  • VPC için bir uç nokta yapılandırın. Daha fazla bilgi için bkz. Uç Noktalar.

  • MaxCompute'e erişmesi gereken tüm hizmetlerin IP adreslerini izin listesine ekleyin. Örneğin, Data Integration, Data Map veya Realtime Compute for Apache Flink kullanıyorsanız bu hizmetlerin IP adreslerini izin listesine eklemeniz gerekir.

MaxCompute yalnızca proje düzeyinde IP adresi izin listelerini destekler. Aşağıdaki biçimler desteklenir:

• Bir IPv4 veya IPv6 adresi. Örnekler: 192.168.0.0 ve 2001:db8::.

• Bir CIDR bloğu. Örnekler: 172.12.0.0/16 ve 2001:db8::/32.

• Bir IP adresi aralığı. Örnekler: 192.168.10.0-192.168.255.255 ve 2001:db8:1:1:1:1:1:1-2001:db8:4:4:4:4:4:4.

CLI kullanarak

Genel ağ ve cloud ürünleri arası bağlantı ağı için IP adresi izin listesi parametresi odps.security.ip.whitelist'dir. VPC'ler için parametre odps.security.vpc.whitelist'dir. Komut sözdizimi ve parametreler hakkında daha fazla bilgi için bkz. Proje özelliklerini görüntüleme.

IP adreslerini bir IP adresi izin listesine eklemek için aşağıdaki komutları çalıştırın:

• Yalnızca genel ağ ve cloud ürünleri arası bağlantı ağı için bir IP adresi izin listesi yapılandırırsanız, bu ağlardan gelen erişim kısıtlanır ve VPC'lerden gelen tüm erişim reddedilir.

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=\N;

  VPC'lerden gelen erişimi sınırlamadan yalnızca VPC olmayan ağlardan gelen erişimi kısıtlamak için VPC'ler için yıldız işareti (*) joker karakterini kullanabilirsiniz:

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=*;

  Genel ağ ve cloud ürünleri arası bağlantı ağı için IP adresi izin listesini yapılandırırken, kendi erişiminizi engellememek için MaxCompute istemcisini çalıştırdığınız cihazın IP adresini dahil edin. Yapılandırılan izin listesi, isteği yaptığınız VPC'yi içermiyorsa komut bir risk uyarısıyla başarısız olur. Örnek:

  odps@ xxx>setproject odps.security.ip.whitelist=192.168.1.xxx;
  FAILED: Yourself will be banned by your new IP/VPC whitelist!
  Test result: vpc:'cn-hangzhou_123' or '123' not in vpc white list. project: lyh_meta1

• Yalnızca bir VPC için IP adresi izin listesi yapılandırırsanız, VPC'den gelen erişim kısıtlanır ve genel ağ ile cloud ürünleri arası bağlantı ağından gelen tüm erişim reddedilir.

  setproject odps.security.ip.whitelist=\N odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

  VPC olmayan ağlardan gelen erişimi devre dışı bırakmadan yalnızca bir VPC için erişim denetimi yapılandırmak için 0.0.0.0/0 joker IP adresini kullanabilirsiniz:

  setproject odps.security.ip.whitelist=0.0.0.0/0 odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

• Hem genel ağ/cloud ürünleri arası bağlantı ağı hem de bir VPC için IP adresi izin listeleri yapılandırmanız gerekiyorsa, her iki ağ türünden gelen erişim de kısıtlanır.

  setproject odps.security.ip.whitelist=192.168.0.0 odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20];

• Genel ağ/cloud ürünleri arası bağlantı ağı ve birden çok VPC için birden fazla IP adresi içeren izin listeleri yapılandırmanız gerekiyorsa aşağıdaki biçimi kullanın.

  setproject odps.security.ip.whitelist=192.168.0.0,192.168.0.10 odps.security.vpc.whitelist=<vpc-instance-id1>[192.168.0.10,192.168.0.20],<vpc-instance-id2>;

  Birden fazla genel ağ veya cloud ürünleri arası bağlantı ağı IP adresini virgül (,) ile ayırın. VPC IP adresleri için <VPC instance ID>[IP address list] biçimini kullanın. Belirli bir VPC'den gelen tüm IP adreslerini izin listesine eklemek için yalnızca o VPC'nin örnek kimliğini belirtin.

Konsolu kullanarak

MaxCompute konsolunda bölgenizi seçin. Projects sayfasında projenizi bulun ve Actions sütunundaki Manage seçeneğine tıklayın. Ardından, Parameter Configuration sekmesinde IP Address Whitelist öğesini düzenleyin.

• Genel ağ ve cloud ürünleri arası bağlantı ağı IP'si: Birden fazla IP adresini virgül (,) ile ayırın. Yalnızca genel ağ ve cloud ürünleri arası bağlantı ağı için bir IP adresi izin listesi yapılandırırsanız, bu ağlardan gelen erişim kısıtlanır ve VPC'lerden gelen tüm erişim reddedilir. VPC'lerden gelen erişimi kısıtlamak istemiyorsanız "VPC network IP" parametresini yıldız işareti (*) joker karakterine ayarlayabilirsiniz.

• VPC ağ IP'si: Birden fazla IP adresini virgül (,) ile ayırın. Yalnızca bir VPC için IP adresi izin listesi yapılandırırsanız, VPC'den gelen erişim kısıtlanır ve genel ağ ile cloud ürünleri arası bağlantı ağından gelen tüm erişim reddedilir. Örnek: <vpc-instance-id1>[192.168.0.10,192.168.0.20],<vpc-instance-id2>. VPC olmayan ağlardan gelen erişimi devre dışı bırakmadan yalnızca VPC için erişim denetimi yapılandırmak için "Public network and cloud product interconnection network IP" parametresini 0.0.0.0/0 joker değerine ayarlayın.

IP adresi izin listesini görüntülemek için setproject; komutunu çalıştırın. odps.security.ip.whitelist= ve odps.security.vpc.whitelist parametreleri izin verilen IP adreslerini listeler. odps.security.ip.whitelist= veya odps.security.vpc.whitelist değeri boşsa, hiçbir IP adresi izin listesi yapılandırılmamış demektir.

setproject;

Aşağıdaki çıktı döndürülür:

odps.security.ip.whitelist=192.168.0.0
odps.security.vpc.whitelist=<vpc-instance-id>[192.168.0.10,192.168.0.20]

odps.security.vpc.whitelist=cn-beijing_125179[192.168.0.10,192.168.0.20]

Genel ağ, cloud ürünleri arası bağlantı ağı ve VPC'ler için IP adresi izin listelerini değiştirmek için setproject komutunu çalıştırın. Bu komut, mevcut izin listesini yeni değerlerle değiştirir.

• Genel ağ ve cloud ürünleri arası bağlantı ağı için IP adresi izin listesini değiştirme

  setproject odps.security.ip.whitelist=192.168.0.10;

• Bir VPC için IP adresi izin listesini değiştirme

  setproject odps.security.vpc.whitelist=<vpc-instance-id>[192.168.10.10,192.168.0.20];

IP adresi izin listesi özelliğini devre dışı bırakmak için aşağıdaki komutu çalıştırın. Bu işlem, genel ağ, cloud ürünleri arası bağlantı ağı ve VPC'ler için tüm erişim kısıtlamalarını kaldırır.

setproject odps.security.ip.whitelist= odps.security.vpc.whitelist= ;

Tüm Alibaba Cloud hizmetlerinin cloud ürünleri arası bağlantı ağı veya bir VPC üzerinden MaxCompute'e erişmesine izin vermek için aşağıdaki komutu çalıştırın:

setproject odps.security.ip.whitelist=192.168.0.0/16,172.16.0.0/12,10.0.0.0/8,11.0.0.0/8,33.0.0.0/8,26.0.0.0/8,100.64.0.0/10 odps.security.vpc.whitelist=*;

• odps.security.ip.whitelist: Genel ağ ve cloud ürünleri arası bağlantı ağı için IP adresi izin listesi. Yukarıdaki komuttaki IP adreslerini kullanabilirsiniz. Daha fazla IP adresi eklemek için bunları listeye ekleyin.