ブロック・ポリシー

以下のことができないようにするポリシーのタイプを指定します。

• 任意のデバイスまたはサービスを使用して NPSaaS データベースに接続する。

• NPSaaS データベースから、指定されたホスト名または CIDR によって指定された範囲内の IP アドレスを持つ任意のデバイスまたはサービスに接続する。

ポリシーの許可

以下を実行できるようにするポリシーを指定します。

• 任意のデバイスまたはサービスを使用して NPSaaS データベースに接続する。

• NPSaaS データベースから、指定されたホスト名または CIDR によって指定された範囲内の IP アドレスを持つ任意のデバイスまたはサービスに接続する。

許可ポリシーとブロック (拒否) ポリシーの組み合わせを使用して、NPSaaS データベースとの間の接続を、指定された IP アドレスとホスト名のセットに制限することができます。

クラスレス・ドメイン間ルーティング (CIDR) を使用したネットワーク・ポリシーの定義

NPSaaSでは、ネットワーク・ポリシーでクラスレス・ドメイン間ルーティング (CIDR) を使用して、IP アドレスの範囲を指定できます。

CIDR 表記は、IP アドレスとそれに関連するネットワーク・マスクをコンパクトに表現したものです。

<ip_address>/<prefix_length>

例えば、76.168.0.0/24 は、76.168.0.0 と 76.168.0.62 の範囲の IP アドレスを表します。

0.0.0.0/0 は、CIDR 表記の特殊なケースです。これは許可されます。 以下の理由により、注意して使用してください。

• 0.0.0.0/0 をブロック・ポリシーとして使用すると、NPSaaS データベースとの間のすべてのトラフィックが制限されます。

• 0.0.0.0/0を許可ポリシーとして使用すると、NPSaaS データベースとの間のすべてのトラフィックが許可されます。

パブリックIPアドレスとプライベートIPアドレスを表すために、CIDR範囲を使用することができます。 プライベート IP アドレスを使用するプライベート・ネットワークまたはエンタープライズ・ネットワーク内のデバイスまたはサービスには、ゲートウェイがあります。 これらのゲートウェイには通常、ネットワーク・アドレス変換 (NAT) を行うパブリック IP アドレスとのネットワーク・インターフェースがあります。 これにより、プライベート・ネットワーク内のエンティティーが外部サービスに接続できるようになります。

allow ポリシーおよび block ポリシーを設定する場合は、ゲートウェイのパブリック IP アドレスのみを表す CIDR 範囲を使用する必要があります。

ブロック・ポリシーとしてプライベート IP アドレス・スペースを表す CIDR 範囲を指定しないでください。 データベースの機能に影響を与える可能性があります。

DNS ホスト名を使用したネットワーク・ポリシーの定義

NPSaaSでは、ネットワーク・ポリシーに DNS ホスト名を指定できます。

DNS ホスト名は、ネットワーク ID として機能するデバイスまたはサービスに割り当てられ、それらとの接続に使用される名前です。 DNS ホスト名の例は、cloud.ibm.comです。

ポリシーで DNS ホスト名を使用する場合、ポリシーが効果的に機能するように、ローカル DNS 名はホスト名を NPSaaS インスタンス内の単一の静的 IP アドレスに解決します。

ホスト名が複数の IP アドレスに解決される場合、または割り当てられた IP アドレス (例えば、ロード・バランサー) が変更される可能性がある場合は、DNS ホスト名ではなく、それらの IP アドレスの CIDR 範囲をポリシーに指定するようにしてください。

指定された IP アドレスとホスト名を持つ定義済みソース・セットからの接続のみを許可する

CIDR-1、 CIDR-2、およびホスト名 H1 と H2で表される範囲の IP アドレスを持つデバイスからのみ NPSaaS データベースへの接続を許可し、他のすべてのソースからの接続を拒否する場合は、以下の手順を実行します。

1. Rule 1 から Rule 5までの順序でポリシーを作成します。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: 0.0.0.0/0 (deny)
   

   これらの規則により、接続が許可されるかどうかを判別するために、接続が Rule 1-4 と突き合わされます。 許可されていない場合、Rule 5 はそれらを拒否します。

   誰かがホスト名 H1 および H2を使用して NPSaaS データベースに接続しようとすると、データベースはまずホスト名をその IP アドレスに解決して接続を完了しようとします。 データベースにはローカルにキャッシュされた DNS エントリーがない可能性があるため、データベースはパブリック DNS サーバーを使用してホスト名を解決しようとします。 ルール 5 が適用されているため、DNS ルックアップは失敗します。 その結果、接続の試行は失敗します。

2. DNS ルックアップを成功させるための許可ルールに、パブリック権限 DNS サーバーのホスト名または CIDR (DNS-1) を追加します。

   Rule 1: CIDR-1    (allow)
   Rule 2: CIDR-2    (allow)
   Rule 3: H1        (allow)
   Rule 4: H2        (allow)
   Rule 5: DNS-1     (allow)
   Rule 6: 0.0.0.0/0 (deny)
   

   新規ルールが 許可 ルール (ルール 5) として追加されます。

オンプレミスからの接続のみを許可し、クラウド・オブジェクト・ストアを使用してデータをバックアップ、ロード、またはアンロードする

オンプレミス・ネットワークのアプリケーションまたはユーザーのみが NPSaaS データベースに接続できるようにするには、以下の手順を実行します。

1. パブリック NAT ゲートウェイを使用します。

   オンプレミス・ネットワークは、プライベート IP アドレス・スペースを使用するプライベート・エンタープライズ・ネットワークです。 アプリケーションおよびユーザーがオンプレミス・ネットワーク外のサービスに接続する場合は、パブリック NAT ゲートウェイを使用する必要があります。

   パブリック NAT ゲートウェイには、CIDR-1 で表される範囲のパブリック IP アドレスとのインターフェースがあり、エンタープライズ・ネットワーク内のインスタンスのソース IP アドレスを NAT ゲートウェイのパブリック IP アドレスの 1 つに置き換えます。

   その結果、外部アプリケーションは、CIDR-1によって表される NAT ゲートウェイのパブリック・インターフェースの 1 つからのすべてのトラフィックを認識します。

2. CIDR-1 を allow ルールとして追加します (ルール 1)。

   Rule 1: CIDR-1    (allow)
   

3. オンプレミス・ネットワークから発信される接続のみを制限するには、 「すべて拒否」 ルール (ルール 2) を追加します。

   Rule 1: CIDR-1    (allow)
   Rule 2: 0.0.0.0/0 (deny)
   

4. データベースからそれぞれの Cloud Object Store エンドポイント (AWS S3 や Azure Blob Storage など) に接続します。

   データベース管理者がデータをクラウド・オブジェクト・ストアにバックアップし、開発者がアプリケーションで外部表を使用してデータをロードおよびアンロードするようにする場合は、許可リストにエンドポイントを追加する必要があります。