Uso de la interfaz de línea de comandos (CLI)

Puede crear y gestionar restricciones basadas en contexto con IBM Cloud CLI instalando el complemento CLI de restricciones basadas en contexto.

Creación de zonas de red en la interfaz de usuario

1. Vaya a Gestionar > Restricciones basadas en contexto en la consola IBM Cloud®.

2. Seleccione Zonas de red.

3. Pulse Crear.

4. Asigne un nombre a su zona de red y facilite una descripción.

5. Introduzca las direcciones IP permitidas. Puede introducir una única dirección IP, un rango de direcciones IP o un único CIDR.

   El campo Direcciones IP denegadas es opcional y debe incluir sólo las excepciones que estén contenidas dentro de los rangos de IP que proporcione en el campo Direcciones IP permitidas.

6. Elija sus VPC permitidas, seleccionando tantas como desee.

7. Hacer referencia a un servicio: Puede seleccionar Cloud Databases como servicio de origen para las restricciones basadas en contexto, pero no como servicio de destino. Por ejemplo, puede aprovisionar una instancia Cloud Databases utilizando BYOK de IBM® Key Protect for IBM Cloud®. En este ejemplo, Cloud Databases es la formación de origen y IBM® Key Protect for IBM Cloud® es la formación de destino. A continuación, crearía una zona de red con una referencia de servicio Cloud Databases y crearía una regla asociada a la zona de red que se dirigiera a IBM® Key Protect for IBM Cloud®. Para añadir una referencia de servicio Cloud Databases, para Tipo de servicio, se autoselecciona Servicios IAM. En el menú desplegable Servicio, seleccione un servicio Cloud Databases específico. Si la zona que crea está asociada a una regla dirigida a Cloud Databases, no se permite una referencia de servicio.

Las referencias de servicio sólo funcionan de Key Protect servicio a Cloud Databases.

Crear zonas de red en la CLI

Para crear zonas de red en la CLI, utilice el comando cbr-zone-create para añadir recursos a las zonas de red. Para obtener más información, consulte la referencia CLI de restricciones basadas en contexto.

Crea una zona utilizando un comando como:

ibmcloud cbr zone-create --addresses=1.1.1.1,5.5.5.5 --name=<NAME>

Creación de zonas de red en Terraform

Para crear zonas en Terraform, siga las instrucciones de la documentación del proveedor deIBM Cloud Terraform.

Ejemplo de script Terraform para crear una zona CBR:

resource "ibm_cbr_zone" "cbr_zone" {
  account_id = "12ab34cd56ef78ab90cd12ef34ab56cd"
  addresses {
    type = "ipAddress"
    value = "169.23.56.234"
  }
  addresses {
    type = "ipRange"
    value = "169.23.22.0-169.23.22.255"
  }
  excluded {
    type  = "ipAddress"
    value = "169.23.22.10"
  }
  excluded {
    type  = "ipAddress"
    value = "169.23.22.11"
  }
  description = "this is an example of zone"
  excluded {
        type = "ipAddress"
        value = "value"
  }
  name = "an example of zone"
}

Actualizar zonas de red en la CLI

Actualizar una zona utilizando un comando como:

ibmcloud cbr zone-update <ZONE-ID> --addresses=1.2.3.4 --name=<NAME>

La actualización requiere el ZONE-ID, no el nombre de la zona. Utilice el siguiente comando para listar sus zonas y recuperar los ZONE-ID correspondientes:

ibmcloud cbr zones

El comando zone-update es una sobreescritura. Incluya todos los campos obligatorios como si estuviera creando la regla desde cero. Si omite algún campo obligatorio, la regla sobrescribe esos campos que faltan como vacíos, y la regla podría fallar porque algunos de esos campos son obligatorios, independientemente de si están cambiando la regla.

Eliminar zonas de red en la CLI

Borre una zona utilizando un comando como:

ibmcloud cbr zone-delete <ZONE-ID>

Creación de reglas en la interfaz de usuario

1. Vaya a Gestionar > Restricciones basadas en contexto en la consola IBM Cloud®.

2. Seleccione Reglas.

3. Pulse Crear.

4. En Servicio, seleccione el servicio al que desea dirigir su regla.

5. En APIs, seleccione Data plane. Actualmente, cualquier otra selección da lugar a un error.

   se esperan 0 acciones para el tipo de API Plano de Datos.

   Cloud Databases no admite actualmente Plano de control como opción.

6. En Recursos, amplíe la regla a Todos los recursos o a Recursos específicos. Para obtener más información, consulte Protección de recursos Cloud Databases.

7. Pulse Continuar.

8. Define los tipos de extremos permitidos.

   • Mantenga el conmutador en No para permitir todos los tipos de endpoint.
   • Seleccione Sí para permitir sólo determinados tipos de terminales y, a continuación, elija de la lista.

9. Seleccione una o varias zonas de red que ya haya creado, o cree una nueva zona de red haciendo clic en Crear.

   Los contextos definen desde dónde se puede acceder a sus recursos, vinculando eficazmente su zona de red a su regla.

10. Haga clic en Añadir para añadir su configuración al resumen.

11. Pulse Siguiente.

12. Ponle nombre a tu regla.

13. Seleccione cómo desea aplicar la regla.

    Report-only no está disponible para Cloud Databases.

Crear reglas en la CLI

Para crear una regla en la CLI, necesita el Cloud Databases service_name apropiado:

• databases-for-postgresql
• databases-for-mongodb
• databases-for-redis
• databases-for-elasticsearch
• database-for-mysql
• messages-for-rabbitmq
• databases-for-enterprisedb
• databases-for-etcd

El resto de parámetros que aparecen a continuación se explican en la guía de referencia del plugin CBR.

Ejemplo de comando para crear una regla CBR:

ibmcloud cbr rule-create --enforcement-mode enabled --context-attributes "networkZoneId=<ZONE-ID>" --resource-group-id <RESOURCE_GROUP_ID> --service-name <SERVICE-NAME> --service-instance <SERVICE-INSTANCE> --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane --description <DESCRIPTION>

La única api-type opción que admite actualmente Cloud Databases es Plano de datos.

Report-only no está disponible para Cloud Databases.

Actualizar reglas en la CLI

Ejemplo de comando para actualizar una regla CBR:

ibmcloud cbr rule-update <RULE-ID> --enforcement-mode disabled --context-attributes="networkZoneId=<ZONE-ID>" --resource-group-id   <RESOURCE_GROUP_ID> --service-name <SERVICE_NAME> --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane --description    <DESCRIPTION>

El comando rule-update es una sobreescritura. Incluya todos los campos obligatorios como si estuviera creando la regla desde cero. Si omite algún campo obligatorio, la regla sobrescribe esos campos que faltan como vacíos, y la regla podría fallar porque algunos de esos campos son obligatorios, independientemente de si están cambiando la regla.

La actualización requiere el RULE-ID, no el nombre de la regla. Utilice el siguiente comando para listar sus reglas y recuperar los RULE-ID relevantes:

ibmcloud cbr rules

Borrar reglas en la CLI

Borra una regla utilizando un comando como:

ibmcloud cbr rule-delete <RULE-ID>

Utilice ibmcloud cbr <command> — help para obtener una lista completa de opciones y parámetros. Por ejemplo, ibmcloud cbr rule-create — help emite parámetros para la creación de reglas.

Creación de reglas en Terraform

Para crear reglas en Terraform, siga las instrucciones de la documentación del proveedor deIBM Cloud Terraform.

Para crear una regla, necesita el Cloud Databases service_name apropiado:

• databases-for-postgresql
• databases-for-mongodb
• databases-for-redis
• databases-for-elasticsearch
• database-for-mysql
• messages-for-rabbitmq
• databases-for-enterprisedb
• databases-for-etcd

Crea una regla utilizando un comando como:

resource "ibm_cbr_rule" "cbr_rule" {
  contexts {
        attributes {
            name = "networkZoneId"
            value = "559052eb8f43302824e7ae490c0281eb"
        }
        attributes {
               name = "endpointType"
               value = "private"
    }
  }
  description = "this is an example of a rule with one context one zone"
  enforcement_mode = "enabled"
  operations {
        api_types {
            api_type_id = "api_type_id"
        }
  }
  resources {
        attributes {
            name = "accountId"
            value = "12ab34cd56ef78ab90cd12ef34ab56cd"
        }
        attributes {
              name = "serviceName"
              value = "network-policy-enabled"
        }
        tags {
              name     = "tag_name"
              value    = "tag_value"
        }
  }
}