接続の保護

IBM Cloud Monitoring を使用する場合にデータの制御とセキュリティーを強化するために、IBM Cloud サービス・エンドポイントへのプライベート経路を使用することができます。インターネットからは、プライベート・ルートにアクセスすることも到達することもできません。 IBM Cloud プライベート・サービス・エンドポイント機能を使用すると、パブリック・ネットワークからの脅威からデータを保護し、プライベート・ネットワークを論理的に拡張できます。

設定できるのはMonitoringエージェントがプライベートエンドポイントのみを使用するようにします。
設定できるのはMonitoringインスタンスでは、プライベートエンドポイント経由の API 呼び出しのみを許可します。

のMonitoringサービスは、パブリック専用エンドポイントまたはプライベート専用エンドポイントのいずれかでデータを送受信するように構成できます。 Web UI はパブリックエンドポイントでのみ使用できます。

開始前に

選択するネットワークを決定するときに考慮すべき点のいくつかを以下に記します。

サービスやアプリケーションからアカウント内のクラウド・ベースのサービスにアクセスする方法についての企業の要件
実動ワークロードのセキュリティー
業界のコンプライアンス規制

例えば、IBM Cloud で作業する際に以下の要件が求められることがあります。

IBM Cloud サービスに接続するためにインターネットにアクセスしてはいけない
アカウント内のワークロードへの接続を分離する

このような要件がある場合には、パブリック・ネットワークではなくプライベート・ネットワークにする必要があります。

Monitoring エージェントを構成して、パブリックネットワークまたはプライベートネットワーク経由で Monitoring インスタンスに接続することができます。デフォルトでは、エージェントはパブリック・ネットワーク経由で接続します。

パブリックネットワークまたはプライベートネットワーク経由で API 呼び出しを行うことができます。デフォルトでは、パブリックネットワーク経由で作成します。

ネットワークのタイプによって、アカウント内のクラウド・ベースのリソース間でワークロードを移動するために構成される分離とセキュリティーのレベルが定義されます。 Monitoring エージェントをプライベートネットワーク経由で接続することを検討してください。

プライベートサービスエンドポイントの設定

プライベート・ネットワーク・エンドポイントは、パブリック・ネットワークではなく IBM Cloud プライベート・ネットワーク上のルーティング・サービスをサポートします。プライベート・ネットワーク・エンドポイントは、VPN 接続なしでアクセスできる固有の IP アドレスを備えています。

ステップ 1: アカウントの有効化

パブリック・インターネットを介する接続を使用しようとしている場合は、IBM Cloud アカウント上でサービス・エンドポイントを有効にする必要はありません。

プライベート・ネットワーク・エンドポイントを使用するには、アカウントの Virtual Routing and Forwarding (VRF) 機能を有効にする必要があります。

まず、アカウントで仮想ルーティングと転送を有効にしてから、IBM Cloud プライベート・サービス・エンドポイントの使用を有効にする必要があります。

VRF を使用可能にするには、サポート Case を作成します。
サービス・エンドポイントを有効にするには、IBM Cloud CLI を使用します。アカウントを使用可能にする方法について詳しくは、VRF およびサービス・エンドポイントの有効化を参照してください。

ステップ2: プライベートエンドポイントを介したAPI呼び出しの強制

アカウントがVRFとサービスエンドポイントに対して有効になったら、Monitoringインスタンスでは、プライベートエンドポイント経由の API 呼び出しのみを許可します。

インスタンスをプロビジョニングした後、Monitoringサービスでは、次の CLI コマンドを使用してインスタンス構成を更新し、すべての API コマンドに対してプライベートエンドポイントを適用できます。

ibmcloud resource service-instance-update <my-service-instance> --service-endpoints 'private'

または、/resource_instances/{id} エンドポイントに対する PATCH 要求とともに、リソース・コントローラー API を使用できます。

プライベートエンドポイントを有効にすると、パブリックエンドポイントを介して行われる API 呼び出しは拒否されます。

ステップ3: 設定Monitoringプライベートエンドポイントを介して接続するエージェント

アカウントが VRF とサービスエンドポイントに対して有効化された後、 Monitoring エージェントをプライベートネットワーク経由で IBM Cloud Monitoring インスタンスに接続するように設定できます。

Monitoring をプライベートネットワークで使用するように設定するには、プライベートエンドポイントをインジェクション用として使用します。 URL。プライベート・エンドポイントについて詳しくは、プライベート・エンドポイントを参照してください。

Monitoring エージェントをプライベートエンドポイントを使用するように設定すると何が起こるのでしょうか？

プライベート・エンドポイントはパブリック・インターネットからはアクセスできません。
すべてのトラフィックは IBM Cloud プライベート・ネットワークにルーティングされます。

ネットワークトラフィックの許可

追加のファイアウォールを設定した場合、または IBM Cloud インフラストラクチャのファイアウォール設定をカスタマイズした場合は、 Monitoring サービスへのネットワークトラフィックを許可する必要があります。

エンドポイントを介した取り込み

データをMonitoringパブリックまたはプライベートのエンドポイントを介してサービスを提供します。ホストでファイアウォールルールを定義する必要がある場合があることに注意してください。

プライベート・エンドポイントについて詳しくは、プライベート・エンドポイントを参照してください。
パブリック・エンドポイントについて詳しくは、パブリック・エンドポイントを参照してください。

パブリック・エンドポイントを介した Web UI へのアクセス

IBM Cloud Monitoring の Web UI にアクセスするには、ホストにファイアウォール・ルールを定義する必要がある場合があります。 Web UIエンドポイントに関する情報を取得するには、以下を参照してください。Web UIエンドポイント。

Webhook によるアラート通知

Monitoring サービスからウェブフックを使用してアラート通知を受信するには、ウェブフックを呼び出すサブネットのファイアウォールルールを定義する必要がある場合があります。サブネットについて詳しくは、Webhook 通知のサブネットを参照してください。