Utilizzo degli endpoint privati

Gen 2

Cloud Databases, di seconda generazione, consentono un approccio "securo per impostazione predefinita" grazie alle connessioni private rese possibili dai Virtual Private Endpoint (VPE).

IBM Cloud® utilizza endpoint privati che limitano l'accesso alla rete interna, proteggendo i dati e le applicazioni da accessi indesiderati e vulnerabilità di sicurezza.

Gli endpoint privati offrono inoltre un maggiore controllo sul traffico di rete diretto ai database, garantendo una migliore visibilità e consentendo di dimostrare la conformità ai requisiti normativi e di regolamentazione.

Il presente documento riguarda tutti i modelli Gen 2 di Cloud Databases: Databases for PostgreSQL e Databases for MongoDB. La configurazione degli endpoint privati virtuali comporta dei costi; inoltre, ai servizi VPC di IBM Cloud che utilizzano endpoint privati si applicano costi di trasferimento dati. Le tariffe si basano sul volume di dati trasferiti e seguono un modello di tariffazione a scaglioni. Utilizza lo strumento di stima dei costi per calcolare una stima in base al tuo utilizzo previsto.

Opzioni per connettersi all'istanza VPC tramite endpoint privati

È possibile accedere alla propria istanza dal dispositivo locale o da un client non VPC tramite endpoint privati. Connettiti a VPE for VPC per garantire una connettività sicura ai servizi e alle istanze provenienti dalla tua rete VPC. Le istruzioni per connettersi all'istanza Gen 2 (VPC) dipendono dal luogo da cui ci si connette e da dove è in esecuzione l'applicazione.

  1. VPE tramite VSI - Questo metodo utilizza un'istanza di server virtuale (VSI) ospitata nel proprio Virtual Private Cloud (VPC) e sfrutta il Virtual Private Endpoint (VPE) per fornire una connettività sicura e privata tra le risorse all'interno del VPC e i servizi esterni di IBM Cloud.
  2. Utilizzare la connessione VPN stabilita tramite un VPE (da client a sito). La VPN consente di connettersi e gestire il sistema da un laptop locale o da un client tramite il VPC/VPE. Per ulteriori informazioni, consultare la sezione " Dal client al sito ".
  3. Utilizza un gateway VPC/VPN per garantire un accesso sicuro e privato dalle infrastrutture locali alle risorse cloud. Per ulteriori informazioni, consultare la sezione " Da sito a sito ".

Configurazione di endpoint privati virtuali tramite un VSI

Passaggio 1: Creare una VPC

Segui le istruzioni disponibili all'indirizzo IBM Cloud per creare un Virtual Private Cloud(VPC). Assicurati che la VPC si trovi nella stessa regione della distribuzione del database.

Fase 2: Creare un VSI e una chiave SSH

  1. Configurare un'istanza VSI all'interno del VPC seguendo le istruzioni per la creazione di istanze di server virtuali riportate nell'interfaccia utente "Istanze di server virtuali per VPC ". Assegnare un indirizzo IP flottante al VSI per consentire l'accesso SSH dall'esterno (facoltativo ai fini del test).
  2. Genera e allega una chiave SSH per un accesso sicuro. Per istruzioni dettagliate su come creare una coppia di chiavi SSH, consulta la guida "Introduzione alle chiavi SSH".
  3. Una volta che la coppia di chiavi è pronta, sposta la chiave privata nella directory ~/.ssh sul tuo computer locale, in modo da seguire le migliori pratiche per una gestione sicura delle chiavi SSH.
  4. Modifica i permessi della chiave privata. In questo modo, il file diventa di sola lettura per il proprietario. Su sistemi simili a " Unix ", come ad esempio macOS,, eseguire il seguente comando:

$ chmod 400 ~/.ssh/<NAME_OF_THE_SSH_KEY>

  1. Accedi via SSH al tuo VSI utilizzando il seguente comando:

$ ssh -i ~/.ssh/<NAME_OF_THE_SSH_KEY> root@<FLOATING_IP_ADDRESS>

Fase 3: Creare un VPE

Nella console di IBM Cloud, fare clic sull'icona del menu e selezionare Infrastruttura VPC > Rete > Gateway di endpoint privati virtuali. Segui queste istruzioni per creare un VPE per le tue istanze di Cloud Databases.

Associa il VPE al tuo VPC e alla tua sottorete.

Fase 4: Aggiornamento dei gruppi di sicurezza VPC

Modifica il gruppo di sicurezza per consentire il traffico in uscita dal tuo VSI verso l'istanza del database. Assicurati che le porte richieste dal tuo database (ad esempio, PostgreSQL o MongoDB ) siano aperte.

Passaggio 5: Creare una chiave di servizio per il database

Utilizza la CLI o l'interfaccia utente di IBM Cloud per creare una chiave di servizio per il database. La chiave di servizio contiene le informazioni necessarie per accedere al database.

Passaggio 6: Connettiti al database tramite endpoint privati

Installare e verificare il client di database richiesto, quindi connettersi al database utilizzando i dati di connessione riportati nella chiave di servizio. Questo comando varia a seconda del database. Le istruzioni necessarie per ciascun database sono elencate nella tabella sottostante.

Strumenti per i clienti e comandi di connessione di esempio per l'accesso privato
service Strumento per i clienti Comando di esempio
Databases for PostgreSQL psql È possibile connettersi al VSI da un ambiente locale inviando il certificato radice da un computer locale al VSI.$ PGPASSWORD=$PASSWORD psql “<PASSWORD> È possibile verificare la connessione con il seguente comando (facoltativo):$ /list
Databases for MongoDB mongosh È possibile verificare la connessione con il seguente comando:--eval "db.stats()"

Configurazione di endpoint privati virtuali tramite una connessione VPN

Utilizza una VPN per connetterti a un VPC e accedere a un VPE. La VPN ti consente di connetterti e gestire la tua istanza da un laptop locale o da un client tramite l'endpoint privato virtuale presente nella tua VPC.

Passaggio 1: Creare una VPC

Segui le istruzioni disponibili all'indirizzo IBM Cloud per creare un Virtual Private Cloud(VPC). Assicurati che la VPC si trovi nella stessa regione della distribuzione del database.

Fase 2: Creare un VPE

  1. Nella console di IBM Cloud, fare clic sull'icona del menu e selezionare Infrastruttura VPC > Rete > Gateway di endpoint privati virtuali. Segui queste istruzioni per creare un VPE per le tue istanze di Cloud Databases.
  2. Associa il VPE al tuo VPC e alla tua sottorete.

Fase 3: Aggiornamento dei gruppi di sicurezza VPC

Modifica il gruppo di sicurezza per consentire il traffico in uscita dal tuo VSI verso l'istanza del database. Assicurati che le porte richieste dal tuo database (ad esempio, PostgreSQL o MongoDB ) siano aperte.

Fase 4: Creazione del server VPN

  1. Crea un IBM Cloud istanza di Secrets Manager.
  2. Creare un motore di certificati in Secrets Manager e generare un certificato per il server VPN.
  3. Creare un'autorizzazione IAM da servizio a servizio per il server VPN verso Secrets Manager, in modo da consentire al server VPN di recuperare il certificato in modo sicuro.
  4. Creare un server VPN per la VPC, specificando la VPC creata al punto 1. Configuralo in modo che utilizzi il certificato memorizzato in Secrets Manager.

A questo punto hai configurato un server VPN che ti permette di stabilire un tunnel sicuro verso il VPC.

Passaggio 5: Connettiti alla VPN

Scarica il file del client VPN e utilizza un client VPN per collegarti alla rete VPN.

Passaggio 6: Connettiti al database tramite endpoint privati

Strumenti per i clienti e comandi di connessione di esempio per l'accesso privato tramite VPN
service Strumento per i clienti Comando di esempio
Databases for PostgreSQL psql È possibile verificare la connessione con il seguente comando:$ /list
Databases for MongoDB mongosh È possibile verificare la connessione con il seguente comando:--eval "db.stats()"

Configurazione del gateway VPC/VPN dall'ambiente locale

Utilizza un gateway VPC/VPN per garantire un accesso sicuro e privato dalle infrastrutture locali alle risorse cloud.

Passaggio 1: Creare una VPC

Segui le istruzioni disponibili all'indirizzo IBM Cloud per creare un Virtual Private Cloud(VPC). Assicurati che la VPC si trovi nella stessa regione della distribuzione del database.

Fase 2: Creare un VPE

  1. Nella console IBM Cloud, fare clic sull'icona del menu e selezionare -> Infrastruttura VPC -> Rete -> Gateway endpoint privati virtuali. Segui queste istruzioni per creare un VPE per le tue istanze di Cloud Databases.
  2. Associa il VPE al tuo VPC e alla tua sottorete.

Fase 3: Aggiornamento dei gruppi di sicurezza VPC

Aggiornare i gruppi di sicurezza con regole che consentano il traffico tra la VPN, il gateway e il VPE.

Fase 4: Configura la connessione creando una VPN

  1. Creare un gateway VPN nella VPC.
  2. Utilizza strongSwan, un popolare gateway VPN, per simulare un gateway VPN on-premise.
  3. Configurare la risoluzione DNS in modo che le query vengano instradate tramite un resolver DNS IBM Cloud.

Passaggio 5: Accedere alla rete

Accedi alla rete collegandoti tramite la VPN. Quando la VPN da servizio a servizio è attiva, il percorso di connessione sicuro si attiva automaticamente, consentendo l'accesso al VSI on-premise e al bastion host nel cloud.

Passaggio 6: Connettiti al database tramite endpoint privati

Connettiti al tuo database da una postazione locale installando e verificando il client richiesto. Nella tabella seguente sono riportati i client relativi a ciascun database e alcuni comandi di verifica:

Strumenti per i clienti e comandi di connessione di esempio per l'accesso privato tramite VPN
service Strumento per i clienti Comando di esempio
Databases for PostgreSQL psql È possibile verificare la connessione con il seguente comando (facoltativo):$ /list
Databases for MongoDB mongosh È possibile verificare la connessione con il seguente comando:--eval "db.stats()"