Cloud Firewall:Terraform を使用して VPC ファイアウォールを作成し、Basic Edition 転送ルータに接続された VPC とネットワークインスタンス間のトラフィックを保護します

始める前に

• Alibaba Cloud アカウントは、アカウント内のリソースに対するすべての権限を持っています。 Alibaba Cloud アカウントが漏洩した場合、リソースは大きなリスクにさらされます。Resource Access Management (RAM) ユーザーを使用し、RAM ユーザーの AccessKey ペアを作成することをお勧めします。詳細については、「RAM ユーザーを作成する」および「AccessKey ペアを作成する」をご参照ください。

• 次のサンプルコードは、Cloud Firewall に必要な権限を RAM ユーザーに付与するポリシーを提供します。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "yundun-cloudfirewall:*", // Cloud Firewall のすべてのアクションを許可します。
                  "yundun-ndr:*"          // NDR のすべてのアクションを許可します。
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "vpc:*"                     // VPC のすべてのアクションを許可します。
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "vpc:CreateVSwitch",       // vSwitch の作成を許可します。
                  "vpc:DescribeVSwitches",    // vSwitch の照会を許可します。
                  "vpc:DeleteVSwitch"        // vSwitch の削除を許可します。
              ],
              "Resource": "*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "cen:*"                      // CEN のすべてのアクションを許可します。
              ],
              "Resource": "*"
          }
      ]
  }
  

• Terraform 環境を準備します。Terraform を使用するには、次のいずれかの方法を使用できます。

  Terraform Explorer で Terraform を使用する: Alibaba Cloud は、Terraform のオンラインランタイム環境である Terraform Explorer を提供しています。 Terraform をインストールする必要なく、Terraform Explorer にログインした後に Terraform を使用できます。詳細については、「Terraform Explorer で Terraform を使用する」をご参照ください。この方法は、追加費用なしで Terraform を迅速かつ便利に使用およびデバッグしたい場合に適しています。

  Cloud Shell で Terraform を使用する: Terraform は Cloud Shell にプリインストールされており、ID 資格情報は構成されています。 Cloud Shell で Terraform コマンドを直接実行できます。詳細については、「Cloud Shell で Terraform を使用する」をご参照ください。この方法は、低コストで Terraform を迅速かつ便利に使用およびデバッグしたい場合に適しています。

  オンプレミスマシンに Terraform をインストールして構成する: この方法は、ネットワークの状態が悪い場合、またはカスタム開発環境を使用する場合に適しています。詳細については、「ローカル PC に Terraform をインストールして構成する」をご参照ください。

  重要

  Terraform 0.12.28 以降をインストールする必要があります。 terraform --version コマンドを実行して、Terraform のバージョンを照会できます。

リソース

alicloud_cloud_firewall_vpc_firewall_cen: VPC ファイアウォールを作成します。

このセクションでは、VPC ファイアウォールを作成する方法について説明します。

1. 作業ディレクトリと、そのディレクトリに main.tf という名前の構成ファイルを作成します。 main.tf は Terraform のメインファイルであり、デプロイするリソースを定義します。

   variable "region" {
     default = "cn-qingdao"
   }
   provider "alicloud" {
     region = var.region
   }
   data "alicloud_account" "current" {
   }
   // VPC 1 を作成します。
   resource "alicloud_vpc" "vpc" {
     vpc_name   = "cen-vpc-01"
     cidr_block = "172.16.0.0/12"
   }
   // VPC 2 を作成します。
   resource "alicloud_vpc" "vpc1" {
     vpc_name   = "cen-vpc-02"
     cidr_block = "172.16.0.0/12"
   }
   // vSwitch を作成し、CIDR ブロック 172.16.1.0/24 を vSwitch に割り当てます。
   resource "alicloud_vswitch" "vsw" {
     vpc_id       = alicloud_vpc.vpc.id
     cidr_block   = "172.16.1.0/24"
     zone_id      = "cn-qingdao-b"
     vswitch_name = "terraform-example-1"
   }
   // vSwitch を作成し、CIDR ブロック 172.16.0.0/24 を vSwitch に割り当てます。
   resource "alicloud_vswitch" "vsw1" {
     vpc_id       = alicloud_vpc.vpc.id
     cidr_block   = "172.16.0.0/24"
     zone_id      = "cn-qingdao-c"
     vswitch_name = "terraform-example-2"
   }
   // vSwitch を作成し、CIDR ブロック 172.16.4.0/24 を vSwitch に割り当てます。
   resource "alicloud_vswitch" "vsw2" {
     vpc_id       = alicloud_vpc.vpc1.id
     cidr_block   = "172.16.4.0/24"
     zone_id      = "cn-qingdao-b"
     vswitch_name = "terraform-example-11"
   }
   // vSwitch を作成し、CIDR ブロック 172.16.5.0/24 を vSwitch に割り当てます。
   resource "alicloud_vswitch" "vsw3" {
     vpc_id       = alicloud_vpc.vpc1.id
     cidr_block   = "172.16.5.0/24"
     zone_id      = "cn-qingdao-c"
     vswitch_name = "terraform-example-22"
   }
   // CEN インスタンス。
   resource "alicloud_cen_instance" "example" {
     // CEN インスタンスの名前。
     cen_instance_name = "tf_example"
     // 説明。
     description = "cen の例"
   }
   // 転送ルータへのネットワークインスタンス接続 1 を作成します。
   resource "alicloud_cen_instance_attachment" "example" {
     instance_id              = alicloud_cen_instance.example.id
     child_instance_id        = alicloud_vpc.vpc.id
     child_instance_type      = "VPC"
     child_instance_region_id = "cn-qingdao"
   }
   // 転送ルータへのネットワークインスタンス接続 2 を作成します。
   resource "alicloud_cen_instance_attachment" "example1" {
     instance_id              = alicloud_cen_instance.example.id
     child_instance_id        = alicloud_vpc.vpc1.id
     child_instance_type      = "VPC"
     child_instance_region_id = "cn-qingdao"
   }
   // CEN インスタンスとネットワークインスタンス接続を作成します。
   resource "time_sleep" "wait_before_firewall" {
     // CEN インスタンスとネットワークインスタンス接続が作成されていることを確認します。
     depends_on = [
       alicloud_cen_instance_attachment.example,
       alicloud_cen_instance_attachment.example1
     ]
     create_duration = "720s" // ビジネス要件に基づいて待機時間を指定します。
   }
   // 待機時間。
   resource "null_resource" "wait_for_firewall" {
     provisioner "local-exec" {
       command = "echo waiting for firewall to be ready" // ファイアウォールの準備ができるまで待機します。
     }
     // CEN インスタンスが作成されていることを確認します。
     depends_on = [time_sleep.wait_before_firewall]
   }
   // Basic Edition 転送ルータ。
   resource "alicloud_cloud_firewall_vpc_firewall_cen" "default" {
     // CEN インスタンスとネットワークインスタンス接続が作成され、待機時間が指定されていることを確認します。
     depends_on = [
       null_resource.wait_for_firewall
     ]
     timeouts {
       create = "30m" // 作成操作のタイムアウト期間。
     }
     // CEN インスタンスの ID。
     cen_id = alicloud_cen_instance.example.id
     // VPC の詳細。
     local_vpc {
       // VPC ファイアウォールが作成される VPC の ID。
       network_instance_id = alicloud_cen_instance_attachment.example.child_instance_id
     }
     // VPC ファイアウォールのステータス。
     status = "open"
     // オプション。現在の Alibaba Cloud アカウントのメンバーの ID。
     member_uid = data.alicloud_account.current.id
     // VPC のリージョン ID。
     vpc_region = var.region
     // VPC ファイアウォールの名前。
     vpc_firewall_name = "tf-test"
   }

2. 次のコマンドを実行して、Terraform を初期化します。

   terraform init

   次の情報が返された場合、Terraform は初期化されています。

   Initializing the backend...
   
   Initializing provider plugins...
   - Checking for available provider plugins...
   - Downloading plugin for provider "alicloud" (hashicorp/alicloud) 1.203.0...
   
   Terraform has been successfully initialized!
   
   You may now begin working with Terraform. Try running "terraform plan" to see
   any changes that are required for your infrastructure. All Terraform commands
   should now work.
   
   If you ever set or change modules or backend configuration for Terraform,
   rerun this command to reinitialize your working directory. If you forget, other
   commands will detect it and remind you to do so if necessary.

3. 実行計画を作成し、変更をプレビューします。

   terraform plan

4. 次のコマンドを実行して、VPC ファイアウォールを作成します。

   terraform apply

   実行中に、プロンプトが表示されたら yes と入力し、[Enter] キーを押します。コマンドが正常に実行されるまで待ちます。次の情報が表示された場合、操作は成功です。

   Plan: 12 to add, 0 to change, 0 to destroy.
   
   Do you want to perform these actions?
     Terraform will perform the actions described above.
     Only 'yes' will be accepted to approve.
   
     Enter a value: yes
   // ...省略...
   Apply complete! Resources: 12 added, 0 changed, 0 destroyed.

5. 結果を確認します。

   terraform show コマンドを実行する

   次のコマンドを実行して、作成された VPC ファイアウォールの詳細を表示できます。

   terraform show

   

   Cloud Firewall コンソールにログインする

   Cloud Firewall コンソール にログインし、[ファイアウォール設定] ページに移動して、[VPC ファイアウォール] タブをクリックします。次に、ファイアウォール ID を使用して VPC ファイアウォールを検索し、VPC ファイアウォールの詳細を表示します。

リソースのリリース

Terraform を使用して作成または管理されている上記の不要になったリソースは、次のコマンドを実行してリリースします。 terraform destroy コマンドの詳細については、「共通コマンド」をご参照ください。

terraform destroy

完全なサンプルコード

サンプルコード

// ... (サンプルコードは上記と同じなので省略) ...