アウトバウンド接続のための許可された宛先IPアドレス範囲の追加

ワークロードが外部ネットワーク経由で接続できる場所を制限するために、許可された宛先IPアドレスの範囲を作成することができます。

1. 「接続」ページに移動してください：
   1. Code Engine コンソールの Projects ページからプロジェクトを選択します。
   2. Project settings（プロジェクト設定 ）> Connectivity（接続性） > CIDR ranges（CIDR範囲） タブをクリックして、既存の許可された宛先IPアドレス範囲のリストを表示します。
2. Add ］をクリックして、許可された宛先IPアドレス範囲を作成します。
3. 名前を指定します。
4. CIDR表記でIPアドレスの範囲を指定してください。
5. 設定を確認してください。

アウトバウンド接続用のプライベートパス接続の追加

Code Engine プロジェクトと VPC の間にプライベート・パス接続を確立できます。

1. 「接続」ページに移動してください：
   1. Code Engine コンソールの Projects ページからプロジェクトを選択します。
   2. Project settings > Connectivity > Private Path connections タブをクリックすると、既存のプライベートパス接続のリストが表示されます。
2. [追加 ] をクリックして、プライベートパス接続を作成します。
3. 名前を指定します。
4. 接続するプライベート・パスのサービス・インスタンスを名前またはCRNで指定します。
   1. 名前で、ドロップダウンリストからプライベートパスのサービスインスタンスを選択します。
   2. CRNにより、プライベート・パス・サービス・インスタンスCRNを提供する。
5. 隔離ポリシーを選択します：
   1. Shared- ターゲット VPC と同じ IBM Cloud アカウント、または同じ Enterprise アカウント Family 内のアカウント存在する Code Engine プロジェクト間で、プライベートパス接続を再利用できるようにします。
   2. Dedicated- このプライベート・パス接続の使用は、 Code Engine プロジェクト 1 つだけに制限されます。
6. 設定を確認してください。

VPCへの接続が作成されると、プライベート・パスのサービス・オーナーは接続要求を受け取ります。 所有者は、この接続要求を確認し、許可または拒否することができる。 プライベート・パス接続詳細ビューに表示されるコンシューマー Code Engine account ID および VPE gateway creation timestamp を使用して、プライベート・パス・サービス内で接続要求を識別します。

アウトバウンド接続のための許可された宛先IPアドレス範囲の更新

ワークロードが意図しないエンドポイントに接続できないように、許可される宛先IPアドレスの範囲を変更することができる（例えば、公衆インターネットへの接続）。

1. 「接続」ページに移動してください：
   1. Code Engine コンソールの Projects ページからプロジェクトを選択します。
   2. Project settings（プロジェクト設定 ）> Connectivity（接続性） > CIDR ranges（CIDR範囲） タブをクリックして、既存の許可された宛先IPアドレス範囲のリストを表示します。
2. 編集したい許可された宛先IPアドレス範囲の行をクリックします。
3. 更新されたIPアドレスの範囲を指定し、変更を保存します。

アウトバウンド接続ルールを更新する際は、以下の点に注意してください：

• 許可された宛先IPアドレスの範囲は競合せず、加算される。 複数の範囲を定義する場合、許可される宛先は、範囲を追加する順序が結果の許可される宛先に影響しないように、指定されたすべての範囲の連合を作成します。 既存の範囲によってすでにカバーされている2つ目の範囲を追加した場合、システムは冗長であるとしてその作成を拒否します。

• IPアドレス範囲 0.0.0.0/0 を指定すると、既存のルールがすべて削除され、完全な接続性が開放される。

• アウトバウンド接続のルールを制限した後、ワークロードがそのルールを理解するまでに時間がかかることがあります。 例えば、アウトバウンド接続ルールを更新する前に、あなたのコードで使用されている HTTP クライアントが接続を確立すると、そのエンドポイントへの接続を開くことができます。 アウトバウンド接続ルールがすぐに適用されるようにするには、すべての接続をリセットします。 ワークロードを再デプロイするか、コード内でそのような状況に対処することでリセットできる。

• Code Engine プロジェクトからのアウトバウンド接続を制限すると、外部からのリクエストができなくなるため、ビルドの実行に失敗するなど、意図しない副作用が発生することがあります。

アウトバウンド接続用のプライベートパス接続の更新

Code Engine プロジェクトと VPC 間のプライベートパス接続を dedicated または shared に変更できます。

• プライベートパス接続は、 shared 、ターゲット VPC と同じ IBM Cloud アカウント存在する Code Engine プロジェクト間、または同じアカウント 内のアカウント間で再利用できます。
• プ ラ イ ベー ト パ ス接続の使用を Code Engine プ ロ ジ ェ ク ト 1 つだけに制限す る には、 その分離ポ リ シーを dedicated に設定し ます。
• dedicated プライベート・パス接続は、いつでも shared に変更できる。
• shared プライベート・パス接続は、複数の Code Engine プロジェクトで使用されていない場合にのみ、 dedicated に変更できます。

プライベート・パス接続の分離ポリシーを更新する：

1. 「接続」ページに移動してください：
   1. Code Engine コンソールの Projects ページからプロジェクトを選択します。
   2. Project settings > Connectivity > Private Path connections タブをクリックすると、既存のプライベートパス接続のリストが表示されます。
2. 更新したいプライベートパス接続のある行に移動し、3つのドットの行アクションアイコンをクリックし、 Change isolation policy オプションを選択します。
3. ダイアログで Changeをクリックして変更を確定する。

アウトバウンド接続で許可された送信先を削除する

アウトバウンド接続のために定義する必要がなくなった場合、以前に定義した許可されたアウトバウンド宛先を削除できます。

許可された宛先IPアドレス範囲を削除すると、プロジェクト内の Code Engine アプリケーション、機能、およびジョブの送信トラフィックがブロックされます。

1. 「接続」ページに移動してください：
   1. Code Engine コンソールの Projects ページからプロジェクトを選択します。
   2. Project settings（プロジェクト設定 ）> Connectivity（接続性） > CIDR ranges（CIDR範囲） タブをクリックすると、既存の許可された宛先IPアドレス範囲のリストが表示され、 Private Path connections（プライベートパス接続） タブをクリックすると、既存のプライベートパス接続のリストが表示されます。
2. 削除したい許可された送信先の行に移動し、3つのドットの行アクションアイコンをクリックし、 削除オプションを選択します。
3. プロンプトが表示されたら、削除を確認します。

アウトバウンド接続のための許可された宛先IPアドレス範囲の追加

Code Engine 接続アウトバウンドCLIコマンドでは、以下を指定できます。 --name および --cidr の値を指定して、許可される宛先IPアドレスの範囲を設定できます。 以下のCIDRガイドラインに従ってください：

• 予約IP 範囲からIP範囲を使用しないでください。
• --name 、 --cidr の値を重複して使用しないでください。
• サポートされていないCIDR名を使用しないでください。
• サポートされていないIPアドレス範囲は使用しないでください。 CIDR表記に従う。

ワークロードが外部ネットワーク経由で接続できる場所を制限するために、許可された宛先IPアドレスの範囲を作成することができます。

1. Code Engine のプロジェクトを選択してください。 以下に例を示します。

   ibmcloud ce project select --name myproject
   

2. --name 、 --cidr オプションを指定して、許可される宛先IPアドレス範囲を作成する。 有効な名前とIPアドレスを入力してください。 これらの例を参考にしてほしい：

   ibmcloud ce connectivity outbound create --name mycidr1 --cidr 192.68.5.0/24
   
   ibmcloud ce connectivity outbound create --name mycidr2-allow-all --cidr 0.0.0.0/0
   
   ibmcloud ce connectivity outbound create --name mycidr2-allow-all --cidr 0.0.0.0/0 --force
   

アウトバウンド接続用のプライベートパス接続の追加

Code Engine 接続アウトバウンド CLI コマンドでは、次の値を指定できます。 --name、 --format、 --pps-crn、およびオプションで --isolation-policy の値を指定すると、 Code Engine プロジェクトと VPC の間にプライベートパス接続が確立されます。

1. Code Engine のプロジェクトを選択してください。 以下に例を示します。

   ibmcloud ce project select --name myproject
   

2. --name、 --format、 --pps-crn を指定して、アウトバウンド接続用のプライベートパス接続を作成する。 有効な名前、形式、CRNを記入してください。 --isolation-policy を指定する場合は、 shared または dedicated を指定してください。 これらの例を参考にしてほしい：

   ibmcloud ce connectivity outbound create --name my-pps-connection --format pps --pps-crn crn:v1:bluemix:public:is:eu-de:a/abcdefabcdefabcdefabcd1234567890::private-path-service-gateway:r010-2b2b2b2b-3c3c-4d4d-5e5e-6f6f6f6f6f6f
   
   ibmcloud ce connectivity outbound create --name my-pps-connection-2 --format pps --pps-crn crn:v1:bluemix:public:is:eu-de:a/abcdefabcdefabcdefabcd1234567890::private-path-service-gateway:r010-2b2b2b2b-3c3c-4d4d-5e5e-6f6f6f6f6f5e --isolation-policy dedicated
   

VPCへの接続が作成されると、プライベート・パスのサービス・オーナーは接続要求を受け取ります。 所有者は、この接続要求を確認し、許可または拒否することができる。 プライベート・パス接続詳細ビューに表示されるコンシューマー Code Engine account ID および VPE gateway creation timestamp を使用して、プライベート・パス・サービス内で接続要求を識別します。

アウトバウンド接続で許可された既存の接続先を表示する

許可された特定の送信先を表示するには、名前を指定する。 以下に例を示します。

ibmcloud ce connectivity outbound get --name my-allowed-destination

許可されたすべての送信先を表示するには、以下を実行する：

ibmcloud ce connectivity outbound list

許可された送信先の選択されたフォーマットを表示するには、次のように実行する：

ibmcloud ce connectivity outbound list --format cidr,pps

ibmcloud ce connectivity outbound list --format cidr

ibmcloud ce connectivity outbound list --format pps

アウトバウンド接続のための許可された宛先IPアドレス範囲の更新

ワークロードが意図しないエンドポイントに接続できないように、許可される宛先IPアドレスの範囲を変更することができる（例えば、パブリックインターネットへの接続）。

--name 、 --cidr オプションを指定して、許可された宛先IPアドレス範囲を更新する。 有効な名前とIPアドレスを入力してください。 これらの例を参考にしてほしい：

ibmcloud ce connectivity outbound update --name mycidr1 --cidr 192.68.5.0/24

ibmcloud ce connectivity outbound update --name mycidr2-allow-all --cidr 0.0.0.0/0
Are you sure you want to update an allowed destination IP address range with '0.0.0.0/0'?, It will remove all other entries [y/N]>

ibmcloud ce connectivity outbound update --name mycidr2-allow-all --cidr 0.0.0.0/0 --force

アウトバウンド接続ルールを更新する際は、以下の点に注意してください：

• 許可された宛先IPアドレスの範囲は競合せず、加算される。 複数の範囲を定義する場合、許可される宛先は、範囲を追加する順序が結果の許可される宛先に影響しないように、指定されたすべての範囲の連合を作成します。 既存の範囲によってすでにカバーされている2つ目の範囲を追加した場合、システムは冗長であるとしてその作成を拒否します。

• IPアドレス範囲 0.0.0.0/0 を指定すると、既存のルールがすべて削除され、完全な接続性が開放される。

• アウトバウンド接続ルールを制限した後でも、ワークロードがルールに対応するまでに時間がかかることがあります。 例えば、アウトバウンド接続ルールを更新する前に、あなたのコードで使用されている HTTP クライアントが接続を確立すると、そのエンドポイントへの接続を開くことができます。 アウトバウンド接続ルールがすぐに適用されるようにするには、すべての接続をリセットします。 ワークロードを再デプロイするか、コード内でそのような状況に対処することでリセットできる。

• Code Engine プロジェクトからのアウトバウンド接続を制限すると、外部からのリクエストができなくなるため、ビルドの実行に失敗するなど、意図しない副作用が発生することがあります。

アウトバウンド接続用のプライベートパス接続の更新

Code Engine プロジェクトと VPC 間のプライベートパス接続を dedicated または shared に変更できます。

• プライベートパス接続は、 shared 、ターゲット VPC と同じ IBM Cloud アカウント存在する Code Engine プロジェクト間、または同じアカウント 内のアカウント間で再利用できます。
• プ ラ イ ベー ト パ ス接続の使用を、 Code Engine プ ロ ジ ェ ク ト 1 つに限定す る には、 その --isolation-policy を dedicated に設定し ます。
• dedicated プライベート・パス接続は、いつでも shared に変更できる。
• shared プライベート・パス接続は、複数の Code Engine プロジェクトで使用されていない場合にのみ、 dedicated に変更できます。

プライベート・パス接続を更新するには、 --name と --isolation-policy オプションを指定する。 これらの例を参考にしてほしい：

ibmcloud ce connectivity outbound update --name my-pps-connection --isolation-policy dedicated

ibmcloud ce connectivity outbound update --name my-pps-connection --isolation-policy shared

アウトバウンド接続で許可された送信先を削除する

アウトバウンド接続のために定義する必要がなくなった場合、以前に定義した許可されたアウトバウンド宛先を削除できます。

許可された宛先IPアドレス範囲を削除すると、プロジェクト内の Code Engine アプリケーション、機能、およびジョブの送信トラフィックがブロックされます。

許可された送信先を確認付きで削除するには、名前を指定します。 以下に例を示します。

ibmcloud ce connectivity outbound delete --name my-allowed-destination

許可された送信先を強制的に（つまり、確認なしで）削除するには、以下を実行する：

ibmcloud ce connectivity outbound delete --name my-allowed-destination --force