すべてのプロダクト
Search

このプロダクト

    Tair (Redis® OSS-Compatible):ホワイトリストを設定する

    ドキュメントセンター

    Tair (Redis® OSS-Compatible):ホワイトリストを設定する

    最終更新日:Feb 27, 2025

    デフォルトでは、Tair (Redis OSS-compatible) は、すべての IP アドレスから Tair および Redis Open-Source Edition インスタンスへのアクセスをブロックして、インスタンスのセキュリティと安定性を確保します。Tair または Redis Open-Source Edition インスタンスを使用する前に、インスタンスへのアクセスに使用する予定の IP アドレスまたは CIDR ブロックをインスタンスのホワイトリストに追加する必要があります。適切に設定されたホワイトリストは、インスタンスのセキュリティを強化できます。ホワイトリストを定期的にメンテナンスすることをお勧めします。

    ホワイトリストを設定する方法

    方法

    説明

    シナリオ

    ホワイトリストに IP アドレスまたは CIDR ブロックを追加する

    クライアントの IP アドレスをインスタンスのホワイトリストに手動で追加して、クライアントがインスタンスにアクセスできるようにします。

    セキュリティグループを追加する

    セキュリティグループは、特定の ECS インスタンスのインバウンドトラフィックとアウトバウンドトラフィックを制御するための仮想ファイアウォールとして使用されます。

    複数の Elastic Compute Service（ECS）インスタンスに Tair または Redis Open-Source Edition インスタンスへのアクセスを許可するには、ECS インスタンスが属するセキュリティグループを Tair または Redis Open-Source Edition インスタンスのホワイトリストとして追加できます。この場合、ECS インスタンスの IP アドレスを Tair または Redis Open-Source Edition インスタンスのホワイトリストに手動で追加する必要はありません。

    セキュリティグループを使用して ECS インスタンスのパブリック IP アドレスとプライベート IP アドレスを一括追加する

    説明

    Tair または Redis Open-Source Edition インスタンスの IP アドレス ホワイトリストを設定し、ECS セキュリティグループをホワイトリストとして追加できます。IP アドレス ホワイトリストの IP アドレスと、セキュリティグループに属する ECS インスタンスは、Tair または Redis Open-Source Edition インスタンスにアクセスできます。

    ECS インスタンスのプライベート IP アドレスをホワイトリストに追加する

    ECS インスタンスが Tair または Redis Open-Source Edition インスタンスと同じ Virtual Private Cloud（VPC）に属している場合は、VPC 経由で ECS インスタンスを Tair または Redis Open-Source Edition インスタンスに接続することをお勧めします。

    説明

    ECS インスタンスと Tair または Redis Open-Source Edition インスタンスが同じ VPC に属していない場合は、ECS インスタンスが属する VPC を変更できます。詳細については、「ECS インスタンスの VPC を変更する」をご参照ください。

    1. コンソールにログインし、[インスタンス] ページに移動します。上部のナビゲーションバーで、管理するインスタンスが存在するリージョンを選択します。次に、インスタンスを見つけてインスタンス ID をクリックします。

    2. 左側のナビゲーションウィンドウで、ホワイトリスト設定 をクリックします。

    3. [default] ホワイトリストを見つけて、[操作] 列の 変更 をクリックします。

      説明

      ホワイトリストグループの追加 をクリックしてホワイトリストを作成することもできます。ホワイトリストの名前は 2 ～ 32 文字で、小文字、数字、アンダースコア（_）を含めることができます。小文字で始まり、小文字または数字で終わる必要があります。

    4. [IP アドレスを追加する方法] を [ECS 内部 IP アドレスのインポート] に設定すると、パネルには Tair または Redis Open-Source Edition インスタンスと同じリージョンにデプロイされている ECS インスタンスのプライベート IP アドレスが表示されます。

      IP アドレスの上にポインタを移動すると、IP アドレスが割り当てられている ECS インスタンスの ID と名前が表示されます。

    5. 必要な IP アドレスを選択して、右側のセクションに移動します。

    6. [OK] をクリックします。

    7. （オプション） ホワイトリストからすべての IP アドレスを削除してホワイトリストを削除するには、ホワイトリストに対応する [操作] 列の [削除] をクリックします。

      システムによって生成されたデフォルトのホワイトリスト（[default] や [hdm_security_ips] など）は削除できません。

    パブリック IP アドレスをホワイトリストに追加する

    オンプレミスデバイスから Tair または Redis Open-Source Edition インスタンスにアクセスする場合、または ECS インスタンスが Tair または Redis Open-Source Edition インスタンスと同じ VPC にない場合は、次の手順を実行してホワイトリストを作成します。

    1. コンソールにログインし、[インスタンス] ページに移動します。上部のナビゲーションバーで、管理するインスタンスが存在するリージョンを選択します。次に、インスタンスを見つけてインスタンス ID をクリックします。

    2. 左側のナビゲーションウィンドウで、ホワイトリスト設定 をクリックします。

    3. [default] ホワイトリストを見つけて、[操作] 列の 変更 をクリックします。

      説明

      ホワイトリストグループの追加 をクリックしてホワイトリストを作成することもできます。ホワイトリストの名前は 2 ～ 32 文字で、小文字、数字、アンダースコア（_）を含めることができます。小文字で始まり、小文字または数字で終わる必要があります。

    4. [IP アドレスを追加する方法] を [手動で追加] に設定します。

    5. グループ内のホワイトリスト フィールドに、IP アドレスまたは CIDR ブロックを入力します。

      オンプレミスデバイスと ECS インスタンスのパブリック IP アドレスを照会する方法

      カテゴリ

      パブリック IP アドレスを照会する方法

      ECS インスタンス

      ECS インスタンスの IP アドレスを照会する方法

      オンプレミスデバイス

      オンプレミスデバイスのパブリック IP アドレスを照会する方法は、ネットワーク環境または操作によって異なる場合があります。以下に、さまざまなオペレーティングシステムのコマンドを使用してオンプレミスデバイスのパブリック IP アドレスを取得するための参照方法を示します。

      • Linux：CLI を開き、curl ifconfig.me コマンドを入力して、Enter キーを押します。

      • Windows：コマンドプロンプトを開き、curl ip.me コマンドを入力して、Enter キーを押します。

      • macOS：ターミナルを起動し、curl ifconfig.me コマンドを入力して、Enter キーを押します。

      複数の IP アドレスはコンマ（,）で区切ります。最大 1,000 個の固有の IP アドレスを追加できます。IP アドレスと CIDR ブロックは、次の形式で入力できます。

      • 10.23.12.24 などの特定の IP アドレス。

      • 10.23.12.0/24 などの CIDR ブロック。/24 は IP アドレスプレフィクスの長さを示します。IP アドレスプレフィクスは、1 ～ 32 ビットの長さにすることができます。10.23.12.0/24 は、10.23.12.0 ～ 10.23.12.255 の IP アドレス範囲を示します。CIDR ブロックの詳細については、「CIDR ブロックに関する FAQ」をご参照ください。

      警告

      インスタンスのホワイトリストに 0.0.0.0/0 を追加すると、すべての IP アドレスがインスタンスに接続できます。この操作はセキュリティリスクをもたらします。注意して進めてください。

    6. [OK] をクリックします。

    7. （オプション） ホワイトリストからすべての IP アドレスを削除してホワイトリストを削除するには、ホワイトリストに対応する [操作] 列の [削除] をクリックします。

      システムによって生成されたデフォルトのホワイトリスト（[default] や [hdm_security_ips] など）は削除できません。

    セキュリティグループを使用して ECS インスタンスのパブリック IP アドレスとプライベート IP アドレスを一括追加する

    複数の ECS インスタンスを Tair または Redis Open-Source Edition インスタンスに接続する場合は、ECS セキュリティグループを Tair または Redis Open-Source Edition インスタンスのホワイトリストとして追加できます。ECS セキュリティグループを Tair または Redis Open-Source Edition インスタンスのホワイトリストとして追加すると、セキュリティグループに属するすべての ECS インスタンスがインスタンスにアクセスできます。

    説明

    インスタンスのバージョンは、Redis 4.0 以降の最新のマイナーバージョンである必要があります。詳細については、「メジャーバージョンをアップグレードする」をご参照ください。

    1. コンソールにログインし、[インスタンス] ページに移動します。上部のナビゲーションバーで、管理するインスタンスが存在するリージョンを選択します。次に、インスタンスを見つけてインスタンス ID をクリックします。

    2. 左側のナビゲーションウィンドウで、ホワイトリスト設定 をクリックします。

    3. セキュリティグループ タブをクリックします。

    4. セキュリティグループ タブで、セキュリティグループの追加 をクリックします。

    5. 表示されるダイアログボックスで、ホワイトリストとして追加するセキュリティグループを選択します。

      [セキュリティグループ名] または [セキュリティグループ ID] を使用してあいまい検索を実行できます。

      図 3. セキュリティグループを追加する添加安全组

      説明

      インスタンスごとに最大 10 個のセキュリティグループをホワイトリストとして追加できます。

    6. [OK] をクリックします。

    7. （オプション） すべてのセキュリティグループを削除するには、削除 をクリックします。

    関連 API 操作

    API 操作

    説明

    DescribeSecurityIps

    インスタンスに設定されている IP アドレス ホワイトリストを照会します。

    ModifySecurityIps

    インスタンスの IP アドレス ホワイトリストを変更します。

    DescribeSecurityGroupConfiguration

    インスタンスのホワイトリストとして追加されているセキュリティグループを照会します。

    ModifySecurityGroupConfiguration

    インスタンスのホワイトリストとして追加されているセキュリティグループを変更します。

    FAQ

    理由は次のとおりです(エラー) ERR 無効なアドレスredis-cli ツールを使用して インスタンス に接続した後に返される メッセージ は何ですか?

    redis-cli ツールがデプロイされているクライアントの IP アドレスが、インスタンスのホワイトリストに追加されていません。インスタンスのホワイトリストを確認する必要があります。

    インスタンスのセキュリティグループを設定できないのはなぜですか？

    セキュリティグループをホワイトリストとして追加できるインスタンスには制限があります。

    • インスタンスのメジャーバージョンは、Redis 4.0（最新のマイナーバージョン）以降である必要があります。詳細については、「メジャーバージョンをアップグレードする」をご参照ください。

    • クラウドネイティブ クラスタインスタンスまたは クラウドネイティブ 読み書き分離インスタンスのホワイトリストとして ECS セキュリティグループを追加することはできません。

    インスタンスのセキュリティグループにアクセスルールを設定しましたが、インスタンスに反映されません。なぜですか？有効になりません

    問題の説明：118.31.XX.XX などの IP アドレスからのみインスタンスへのアクセスを許可するように、セキュリティグループにアクセスルールが設定されています。ただし、他の IP アドレスからでもインスタンスにアクセスできます。

    原因：セキュリティグループに設定したインバウンドトラフィックとアウトバウンドトラフィックのルールは、Tair または Redis Open-Source Edition インスタンスには適用されません。ECS セキュリティグループを Tair または Redis Open-Source Edition インスタンスのホワイトリストとして追加すると、セキュリティグループに属する ECS インスタンスは、VPC またはインターネット経由でインスタンスにアクセスできます。

    理由は外部ホストによって接続が閉じられました？

    次のエラーメッセージが報告されます。

    Escape character is '^]'.
Connection closed by foreign host.

    クライアントの IP アドレスがインスタンスのホワイトリストに追加されていません。上記の方法を参照して、インスタンスのホワイトリストに IP アドレスを追加してから、再試行してください。

    インスタンスのホワイトリストが自動的に作成されるのはなぜですか？これらのホワイトリストを削除できますか？

    インスタンスを作成すると、デフォルトのホワイトリストが自動的に作成されます。インスタンスで特定の操作を実行すると、次の表に示すように、さらにホワイトリストが自動的に作成されます。

    ホワイトリスト

    ソース

    default

    このホワイトリストは自動的に作成されます。このホワイトリストは削除できません。

    ali_dms_group

    このホワイトリストは、Data Management（DMS）からインスタンスにログインすると、DMS によって自動的に作成されます。詳細については、「DMS を使用してインスタンスに接続する」をご参照ください。このホワイトリストを削除または変更しないでください。削除または変更すると、DMS からインスタンスにログインできなくなる可能性があります。

    hdm_security_ips

    このホワイトリストは、オフラインキー分析などの CloudDBA 機能を使用すると、Database Autonomy Service（DAS）によって自動的に作成されます。詳細については、「オフラインキー分析機能を使用する」をご参照ください。このホワイトリストを削除または変更しないでください。削除または変更すると、CloudDBA 機能が使用できなくなる可能性があります。

    ホワイトリストには、クライアントの IP アドレスに加えて、IP アドレス 127.0.0.1 が含まれています。この場合、これらのクライアントはインスタンスに接続できますか？

    はい、これらのクライアントはインスタンスに接続できます。ホワイトリストに IP アドレス 127.0.0.1 のみが含まれている場合、どの IP アドレスもインスタンスに接続できません。

    インスタンスに接続するたびに、オンプレミスデバイスのパブリック IP アドレスが異なります。そのため、インスタンスに接続するたびに、新しい IP アドレスをインスタンスのホワイトリストに追加する必要があります。どうすればよいですか？

    オンプレミスデバイスのパブリック IP アドレスが動的で頻繁に変更される場合は、関連する CIDR ブロックをインスタンスの IP アドレス ホワイトリストに追加できます。たとえば、IP アドレスが常に 10.10.10.* CIDR ブロック（10.10.10.15 や 10.10.10.155 など）内にある場合は、10.10.10.0/24 をホワイトリストに追加できます。これは、10.10.10.0 ～ 10.10.10.255 のすべての IP アドレスがホワイトリストに追加されることを示します。

    警告

    このソリューションは、インスタンスのセキュリティを低下させます。このソリューションを使用する場合は注意してください。

    インスタンスでインターネットアクセスが有効になっている後、インスタンスのホワイトリストに含まれていないデバイスが ping または telnet コマンドを使用してインスタンスのパブリックエンドポイントに接続できるのはなぜですか？

    Tair (Redis OSS-compatible) は、アクセス認証にホワイトリストを使用します。ログインリクエストは、ホワイトリストに対して検証されます。ただし、ping または telnet コマンドを使用してインスタンスに接続できるということは、ネットワークに到達可能であることを示しているだけで、インスタンスへの接続が確立されていることを意味するものではありません。