使用控制台添加基于上下文的限制

要创建基于上下文的限制，请参阅 创建基于上下文的限制。 以下是为 Code Engine 资源创建资源的具体步骤。

1. 转到 "基于上下文的限制 规则 "页面。

2. 单击创建为基于上下文的限制创建新规则，从服务开始。

3. 选择 Code Engine****服务，然后单击“下一步”选择要保护的服务 API。

4. 通过选择服务 API 的数据平面选项来限制访问以保护您的 Code Engine 应用程序或功能工作负载。

   您可以在数据平面级别定义工作负载限制，因此至少要选择数据平面服务。 您还可以选择其他服务或平台 API。

   单击“下一步”设置资源限制范围。

5. 将限制应用于单个项目、整个资源组或有多个项目的位置（区域）。 在“资源”部分应用此范围，然后单击“审核”继续。

6. 单击“继续”为规则添加上下文。

7. 配置上下文以定义哪些端点受到限制。 根据您的安全要求从以下方案中选择一种：

   • 用例 A：完全阻止公众入站

     使用这种用例，可以使您的应用程序和功能只能通过其专用端点访问，从而消除网络层面的公共互联网访问。

     1. 将端点设置为开启。
     2. 选择专用 （允许流量）。
     3. 不选择“公共”（阻止流量）。
     4. 网络区留空。 确保本部分未启用任何网络区域，以便所有专用端点仍可访问。
     5. 点击 “添加” 以创建一个新上下文。

   • 用例 B：通过 IP 阻止公开并限制私有

     使用此用例可通过阻止所有公共互联网访问并将私人终端访问限制在特定 IP 地址或网络区域内，从而实现最大程度的控制。

     1. 将端点设置为开启。
     2. 选择专用 （允许流量）。
     3. 不选择“公共”（阻止流量）。
     4. 选择要允许私人访问的网络区域（例如，特定 VPC 或 IP 范围）。
     5. 点击 “添加” 以创建一个新上下文。

   • 用例 C：完全隔离工作负载

     使用此用例，可通过阻止私人和公共端点，在网络层面完全隔离应用程序和功能。 这对于只进行出站连接的批处理工作负载、只通过消息队列或事件进行通信的内部微服务或正在进行维护的工作负载非常有用。

     1. 将端点设置为开启。
     2. 取消选择“私人”（阻止流量）。
     3. 不选择“公共”（阻止流量）。
     4. 网络区留空。 没有网络区域的空公共上下文会阻止所有公共访问。
     5. 点击 “添加” 以创建一个新上下文。

8. 单击“继续”提供规则详细信息。

9. 请为您的规则提供描述。

10. 选择已启用 执行。

11. 查看摘要，然后点击 “创建”。

使用 CLI 添加基于上下文的限制

您可以使用 IBM Cloud CLI 为 Code Engine 资源创建基于上下文的限制。 开始之前，请运行 ibmcloud plugin install cbr，确保已 安装 IBM Cloud CLI 和基于上下文的限制插件。

• 用例 A：完全阻止公众入站

  使用这种用例，可以使您的应用程序和功能只能通过其专用端点访问，从而消除网络层面的公共互联网访问。

  创建一条允许私人访问并阻止公共访问的规则：

  ibmcloud cbr rule-create --description "Block public inbound entirely" \
  --service-name codeengine \
  --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane \
  --context-attributes endpointType=private
  

• 用例 B：通过 IP 阻止公开并限制私有

  使用此用例可通过阻止所有公共互联网访问并将私人终端访问限制在特定 IP 地址或网络区域内，从而实现最大程度的控制。 要查找可用的区域 ID，请运行 ibmcloud cbr zones。

  创建一条规则，限制私人访问特定区域，阻止公众访问：

  ibmcloud cbr rule-create --description "Block public and restrict private by IP" \
  --service-name codeengine \
  --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane \
  --context-attributes endpointType=private \
  --zone-id <zone-id>
  

• 用例 C：完全隔离工作负载

  使用此用例，可通过阻止私人和公共端点，在网络层面完全隔离应用程序和功能。 这对于只进行出站连接的批处理工作负载、只通过消息队列或事件进行通信的内部微服务或正在进行维护的工作负载非常有用。

  要阻止所有入站流量，请创建一条没有上下文的规则（空规则会阻止所有访问）：

  ibmcloud cbr rule-create --description "Isolate workloads entirely" \
  --service-name codeengine \
  --api-types crn:v1:bluemix:public:context-based-restrictions::::api-type:data-plane
  

基于上下文的限制规则涵盖整个账户、项目、资源组或位置（区域）。 使用 --resource-attributes 指定规则的适用级别，如 --resource-attributes "projectId=<your-project-id>" 适用于项目级别。