:AlbConfig を使用して ACL を設定し、アクセス制御を有効にする

ACL のしくみ

ALB Ingress の ACL はリスナーに関連付けられており、ホワイトリストまたはブラックリストに登録された IP アドレスからのリクエストを受け入れるか拒否します。ACL には、CIDR ブロックのグループが含まれています。AlbConfig を使用して ACL をリスナーに関連付けると、リスナーは ACL 内のエントリを使用して、バックエンドサービスへのアクセスするためにリクエストが送信された送信元 IP アドレスと照合します。次のいずれかの方法を使用してリクエストを制御できます。

• ACL 内のエントリと一致する送信元 IP アドレスからのリクエストのみを許可するように ACL を設定します。

• ACL 内のエントリと一致する送信元 IP アドレスからのリクエストを拒否するように ACL を設定します。

次の図は、ACL のしくみを示しています。

設定方法

次の表に、リスナーと ACL を関連付けるために使用できる方法を示します。 aclIds パラメーターを使用することをお勧めします。

前提条件

AlbConfig が作成され、AlbConfig を使用してリスナーが設定されています。 aclConfig パラメーターは、使用するリスナーに関連付けられています。

aclIds パラメーターを使用して ACL をリスナーに関連付ける

ステップ 1: ACL を作成する

アクセス制御を有効にする前に、ACL を作成する必要があります。

1. ALB コンソール にログインします。

2. 上部のナビゲーションバーで、ACL を作成するリージョンを選択します。

3. 左側のナビゲーションペインで、Application Load Balancer > 概要 を選択します。

4. 概要 ページで、アクセス制御リストの作成 をクリックします。

5. アクセス制御リストの作成 ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。

   パラメーター	説明
   ACL 名	ネットワーク ACL の名前を入力します。
   リソースグループ	リソースグループを選択します。
   タグ	タグキー パラメーターと タグ値 パラメーターを設定します。 タグを指定すると、アクセス制御 ページでタグ別に ACL をフィルタリングできます。

ステップ 2: ACL にエントリを追加する

ACL を作成した後、ACL にエントリを追加できます。ACL エントリは、ALB インスタンスにリクエストを送信する送信元 IP アドレスまたは CIDR ブロックを指定します。各 ACL に複数のエントリを追加できます。

ステップ 3: ACL をリスナーに関連付ける

次の YAML コード例では、spec.listeners.aclConfig パラメーターが既存の AlbConfig に追加され、aclIds パラメーターが作成された ACL の ID に設定されています。この例では、作成された ACL の ID は acl-wtg*** です。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
  #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White # ホワイトリストモード。
        aclIds:  
          - acl-wtg***	# 既存の ACL の ID を ACL 設定に追加します。この例では、既存の ACL の ID は acl-wtg*** です。
	#...

次の表に、aclConfig のパラメーターを示します。

ステップ 4: アクセス制御の効果を確認する

ステップ 5: (オプション) リスナーから ACL の関連付けを解除する

次の YAML コードでは、リスナーから ACL の関連付けを解除する場合、aclIds パラメーターの値から ACL の ID を削除するか、aclIds パラメーターの値を null に変更するだけです。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclType: White
        aclIds: null  # このパラメーターの値から既存の ACL の ID を削除します。この例では、既存の ACL の ID は acl-wtg*** です。
  #...

aclEntries パラメーターを使用して ACL を作成する

ステップ 1: ACL にエントリを設定する

次の YAML コード例では、既存の AlbConfig の spec.listeners.aclConfig パラメーターが追加または変更され、aclEntries パラメーターに CIDR ブロックが指定されています。 aclName パラメーターに値が指定されている場合、ACL が作成され、その値が名前として使用されます。 aclName パラメーターに値が指定されていない場合、acl-{albName}-{port} の形式で名前が自動的に生成されます。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries: 
          - 192.168.XX.XX/16
          - 172.10.XX.XX/16
        aclType: White # ホワイトリストモード。
        aclName: "acl-test" # acl-test という名前の ACL が作成され、リスナーに関連付けられます。
  #...

次の表に、aclConfig のパラメーターを示します。

ステップ 2: アクセス制御の効果を確認する

パブリック IP アドレスがホワイトリストのエントリと一致するか、ブラックリストのエントリと一致しないクライアントを使用して、バックエンドサービスにアクセスし、ACL 設定の効果を確認できます。

この例では、ALB Ingress を始める トピックで作成されたリソースを使用します。

クライアントからのアクセスが許可されている場合、クライアントは想定どおりにバックエンドサービスにアクセスできます。

ステップ 3: (オプション) ACL を削除する

AlbConfig を更新することで ACL を削除できます。次のコード例では、172.10.XX.XX/16 CIDR ブロックを含むホワイトリストタイプの ACL が削除されます。AlbConfig 内の更新された aclEntries パラメーターは、関連付けられた ACL に同期されます。この例では、ACL の名前は acl-test です。 aclEntries パラメーターが空のままになっている場合、すべてのエントリが ACL から削除されます。

apiVersion: alibabacloud.com/v1
kind: AlbConfig
metadata:
  name: default
spec:
  config:
   #...
  listeners:
    - port: #...
      protocol: #...
      aclConfig:
        aclEntries: 
          - 192.168.XX.XX/16
        aclType: White
        aclName: "acl-test" # acl-test ACL 内の 172.10.XX.XX/16 エントリも削除されます。
  #...