使用命令列介面 (CLI)

您可以透過 安裝基於上下文的限制 CLI 插件， 使用IBM Cloud CLI 建立和管理基於上下文的限制。

在 UI 中建立網頁區域

1. 前往IBM Cloud®控制台中的管理>基於上下文的限制。

2. 選擇網路區域。

3. 按一下建立。

4. 為您的網路區域命名並提供描述。

5. 輸入您允許的 IP 位址。 您可以輸入單一 IP 位址、一系列 IP 位址或單一 CIDR。

   拒絕的 IP 位址欄位是可選的，並且應僅包含您在允許的 IP 位址欄位中提供的 IP 範圍內包含的例外情況。

6. 選擇您允許的 VPC，選擇任意數量。

7. 引用服務：您可以選擇Cloud Databases作為基於上下文的限制的來源服務，但不能選擇作為目標服務。 例如，您可以使用來自IBM® Key Protect for IBM Cloud®的 BYOK 來設定Cloud Databases實例。 在此範例中，Cloud Databases是來源結構，IBM® Key Protect for IBM Cloud®是目標結構。 然後，您可以使用Cloud Databases服務參考建立一個網路區域，並建立一個與面向IBM® Key Protect for IBM Cloud®的網路區域關聯的規則。 若要新增Cloud Databases服務引用，對於Service Type，會自動選擇 IAM 服務。 在服務下拉清單中，選擇特定的Cloud Databases服務。 如果您建立的區域與定位Cloud Databases規則關聯，則不允許服務參考。

服務引用功能僅限於從 Key Protect 服務 到 Cloud Databases 的範圍。

在 CLI 中建立網路區域

若要在 CLI 中建立網路區域，請使用 cbr-zone-create 指令將資源新增至網路區域。 有關更多信息，請參閱 基於上下文的限制 CLI 參考。

使用如下命令建立區域：

ibmcloud cbr zone-create --addresses=1.1.1.1,5.5.5.5 --name=<NAME>

在 Terraform 中建立網路區域

若要在 Terraform 中建立區域，請依照 IBM Cloud Terraform 提供者文件中的說明進行操作。

建立 CBR 區域的 Terraform 腳本範例：

resource "ibm_cbr_zone" "cbr_zone" {
  account_id = "12ab34cd56ef78ab90cd12ef34ab56cd"
  addresses {
    type = "ipAddress"
    value = "169.23.56.234"
  }
  addresses {
    type = "ipRange"
    value = "169.23.22.0-169.23.22.255"
  }
  excluded {
    type  = "ipAddress"
    value = "169.23.22.10"
  }
  excluded {
    type  = "ipAddress"
    value = "169.23.22.11"
  }
  description = "this is an example of zone"
  excluded {
        type = "ipAddress"
        value = "value"
  }
  name = "an example of zone"
}

另外，您也可以使用 Terraform IBM Modules(TIM)for CBR Zone 來為基於上下文的限制建立一個區域，或更新現有區域中的位址。

使用 Terraform IBM 模組(TIM) 建立 CBR 區的範例：

module "ibm_cbr" "zone" {
  source           = "terraform-ibm-modules/cbr/ibm//modules/cbr-zone-module"
  version          = "X.X.X" # Replace "X.X.X" with a release version to lock into a specific release
  name             = "zone_for_pg_access"
  account_id       = "defc0df06b644a9cabc6e44f55b3880s"
  zone_description = "Zone created from terraform"
  addresses        = [{type  = "vpc",value = "vpc_crn"}]
}

在 CLI 中更新網路區域

使用以下命令更新區域：

ibmcloud cbr zone-update <ZONE-ID> --addresses=1.2.3.4 --name=<NAME>

更新需要 ZONE-ID，而不是區域名稱。 使用以下命令列出您的區域並檢索相關的 ZONE-ID：

ibmcloud cbr zones

zone-update 命令是覆蓋。 包括所有必填字段，就像您從頭開始建立規則一樣。 若您遺漏任何必填欄位，規則將覆寫這些缺失欄位為空值，且規則可能因部分必填欄位未填妥而失敗——無論這些欄位是否涉及規則變更。

在 CLI 中刪除網路區域

使用如下命令刪除區域：

ibmcloud cbr zone-delete <ZONE-ID>

在 UI 中建立規則

1. 前往IBM Cloud®控制台中的管理>基於上下文的限制。

2. 選擇規則。

3. 按一下建立。

4. 在 「服務」 下，選擇您的規則要定位的服務。

5. 在 API 下，選擇 Data plane。 目前任何其他選擇都會導致錯誤。

   預期資料平面 API 類型的動作數為 0。

   Cloud Databases 目前不支援控制平面作為選項。

6. 在 「資源」 下，將規則範圍設定為 「所有資源」 或 「特定資源」。 有關更多信息，請參閱 保護Cloud Databases資源。

7. 按一下繼續。

8. 定義允許的端點類型。

   • 將切換設為 “否” 以允許所有端點類型。
   • 將開關設為 “是” 以僅允許特定端點類型，然後從清單中進行選擇。

9. 選擇您已建立的一個或多個網路區域，或透過按一下「建立」 來建立新的網路區域。

   上下文定義從哪裡可以存取您的資源，從而有效地將您的網路區域連結到您的規則。

10. 按一下 [ 新增 ]，將您的組態新增至摘要。

11. 按下一步。

12. 說出你的規則。

13. 選擇執行規則的方式。

    僅報告模式不適用於 Cloud Databases.

在 CLI 中建立規則

要在 CLI 中建立規則，您需要適當的Cloud Databases service_name：

• databases-for-postgresql
• databases-for-mongodb
• databases-for-redis
• databases-for-elasticsearch
• database-for-mysql
• messages-for-rabbitmq

CBR 插件參考指南 中解釋了後面的所有其他參數。

建立 CBR 規則的命令範例：

ibmcloud cbr rule-create --enforcement-mode enabled --context-attributes "networkZoneId=<ZONE-ID>" --resource-group-id <RESOURCE_GROUP_ID> --service-name <SERVICE-NAME> --service-instance <SERVICE-INSTANCE> --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane --description <DESCRIPTION>

目前唯一受支援 api-type 的選項 Cloud Databases 是資料平面。

僅報告模式不適用於 Cloud Databases.

更新 CLI 中的規則

更新 CBR 規則的命令範例：

ibmcloud cbr rule-update <RULE-ID> --enforcement-mode disabled --context-attributes="networkZoneId=<ZONE-ID>" --resource-group-id   <RESOURCE_GROUP_ID> --service-name <SERVICE_NAME> --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane --description    <DESCRIPTION>

rule-update 命令是覆蓋。 包括所有必填字段，就像您從頭開始建立規則一樣。 如果您省略任何必填字段，則規則會將這些缺失的字段覆蓋為空，並且規則可能會失敗，因為其中一些字段是必填的，無論它們是否更改規則。

更新需要 RULE-ID，而不是規則名稱。 使用以下命令列出您的規則並檢索相關的 RULE-ID：

ibmcloud cbr rules

在 CLI 中刪除規則

使用以下命令刪除規則：

ibmcloud cbr rule-delete <RULE-ID>

使用 ibmcloud cbr <command> — help 取得選項和參數的完整清單。 例如，ibmcloud cbr rule-create — help 輸出用於規則建立的參數。

在 Terraform 中建立規則

若要在 Terraform 中建立規則，請遵循 IBM Cloud Terraform 提供者文件中的說明。

要建立規則，您需要適當的Cloud Databases service_name：

• databases-for-postgresql
• databases-for-mongodb
• databases-for-redis
• databases-for-elasticsearch
• database-for-mysql
• messages-for-rabbitmq

使用以下命令建立規則：

resource "ibm_cbr_rule" "cbr_rule" {
  contexts {
        attributes {
            name = "networkZoneId"
            value = "559052eb8f43302824e7ae490c0281eb"
        }
        attributes {
               name = "endpointType"
               value = "private"
    }
  }
  description = "this is an example of a rule with one context one zone"
  enforcement_mode = "enabled"
  operations {
        api_types {
            api_type_id = "api_type_id"
        }
  }
  resources {
        attributes {
            name = "accountId"
            value = "12ab34cd56ef78ab90cd12ef34ab56cd"
        }
        attributes {
              name = "serviceName"
              value = "network-policy-enabled"
        }
        tags {
              name     = "tag_name"
              value    = "tag_value"
        }
  }
}