Introducción a IAM VPE Gateway para clústeres de VPC

Nube privada virtual

A partir de noviembre de 2026, Red Hat OpenShift on IBM Cloud creará automáticamente una puerta de enlace de punto final privado virtual (VPE) para Cloud Identity and Access Management (IAM) en cada VPC que contenga un clúster de Red Hat OpenShift on IBM Cloud. Una vez creada esta puerta de enlace, se resuelve private.iam.cloud.ibm.com a las direcciones IP de la puerta de enlace VPE en las subredes de los nodos de trabajo de su clúster, en lugar del rango de puntos finales del servicio privado IBM Cloud. Dependiendo de cómo esté configurado tu entorno, este cambio podría provocar fallos en las aplicaciones que realizan llamadas IAM a private.iam.cloud.ibm.com.

¿Por qué Red Hat OpenShift on IBM Cloud está incorporando una pasarela IAM VPE?

Ya se han creado pasarelas VPE para los servicios que utilizan los clústeres de Red Hat OpenShift on IBM Cloud, como Container Registry y las API de contenedores. Ahora que IAM es compatible con VPE, también se está añadiendo una puerta de enlace para IAM. Las puertas de enlace VPE dirigen el tráfico de los servicios a través de la red privada utilizando direcciones de las subredes existentes en su VPC, y permiten que dicho tráfico sea controlado por grupos de seguridad y listas de control de acceso (ACL) de red.

¿A quién afecta este cambio?

La mayoría de los entornos no se ven afectados. Podría verse afectado si se da alguna de las siguientes situaciones:

  • Ejecutas una aplicación en un VSI u otra máquina de tu VPC —fuera de un clúster de Red Hat OpenShift on IBM Cloud — que realiza llamadas IAM a private.iam.cloud.ibm.com. Una vez creada la puerta de enlace, es probable que el tráfico procedente de ese equipo quede bloqueado por las reglas predeterminadas del grupo de seguridad de la nueva puerta de enlace VPE.
  • Ha personalizado las ACL de red en cualquier subred de VPC y restringe el tráfico entre subredes. Las nuevas direcciones IP de VPE Gateway se asignan desde las subredes de los nodos de trabajo de su clúster, y es posible que sus reglas de ACL bloqueen el tráfico hacia ellas.
  • Dispone de políticas de red de Kubernetes o Calico que permiten el tráfico de salida hacia el rango de puntos finales del servicio privado de IBM Cloud (166.8.0.0/14), pero no permiten explícitamente la salida hacia sus subredes de VPC. Dado que las direcciones IP de VPE Gateway proceden de las subredes de su VPC en lugar del rango 166.8.0.0/14, dichas políticas bloquean el tráfico.

Esto no le afecta si se cumplen las dos condiciones siguientes:

  • Ninguna aplicación ajena a tus clústeres se conecta a private.iam.cloud.ibm.com.
  • Tus ACL de red y las políticas de red de Kubernetes y Calico permiten todo el tráfico no público.

Comprueba si tu entorno se ve afectado

La forma más segura de saber si este cambio te afecta es crear tú mismo la pasarela IAM VPE utilizando el script proporcionado y supervisar tu entorno en busca de problemas de conectividad antes de que IBM cree la pasarela automáticamente. IBM Se recomienda que ejecute primero el script en su entorno de pruebas.

El script comprueba si ya existe una puerta de enlace VPE para IAM en tu VPC. Si la puerta de enlace no existe, el script crea una. Si ya existe y es estable, el script se cierra sin realizar cambios.

Antes de empezar

Asegúrese de que las siguientes herramientas estén instaladas y configuradas:

  • ibmcloud CLI
  • ibmcloud is Complemento (Infraestructura VPC): ibmcloud plugin install vpc-infrastructure
  • ibmcloud ks Complemento ( Kubernetes Service ): ibmcloud plugin install kubernetes-service
  • jq

Inicia sesión y selecciona la región en la que se encuentra tu clúster de VPC. Desactiva el grupo de recursos para que el script pueda ver los clústeres de todos tus grupos de recursos:

ibmcloud login
ibmcloud target -r <region>
ibmcloud target --unset-resource-group

Descarga el script y hazlo ejecutable:

curl -LO https://raw.githubusercontent.com/IBM-Cloud/kube-samples/master/vpe-gateway/create-iam-vpe-gateway.sh
chmod +x create-iam-vpe-gateway.sh

Crear la pasarela IAM VPE

Ejecuta el script para crear la pasarela. El script detecta automáticamente la VPC y las subredes a partir de los nodos de trabajo de tu clúster. También puede especificarlos de forma explícita.

# Auto-detect the VPC and subnets
./create-iam-vpe-gateway.sh add
# Specify the VPC and subnets explicitly
./create-iam-vpe-gateway.sh add --vpc <vpc-name-or-id> --subnets <subnet-zone1-id>,<subnet-zone2-id>,<subnet-zone3-id>

Una vez ejecutado el script, comprueba si hay problemas de conectividad en tu entorno. Si no surge ningún problema, puedes dejar la pasarela tal y como está. Red Hat OpenShift on IBM Cloud reconoce la pasarela y la gestiona automáticamente cuando se lleve a cabo la implementación en noviembre de 2026.

Para eliminar la puerta de enlace y volver al comportamiento anterior, ejecuta el siguiente comando :

./create-iam-vpe-gateway.sh remove --vpc <vpc-name-or-id>

Resolver problemas de conectividad

Si al crear la puerta de enlace IAM VPE se interrumpe la conectividad private.iam.cloud.ibm.com en su entorno, utilice las siguientes secciones para identificar la causa y restablecer la conectividad.

Actualizar las reglas del grupo de seguridad

Esto se aplica si la aplicación afectada se ejecuta en un VSI o en un sistema que se encuentra fuera de un clúster.

El nombre del grupo de seguridad que el script asocia a la puerta de enlace IAM VPE depende del tipo de clúster:

  • Clústeres seguros por defecto: kube-vpegw-<vpcID>
  • El resto de grupos: kube-<vpcID>

El script muestra el nombre del grupo de seguridad en su salida.

Para restablecer la conectividad, actualice los grupos de seguridad tanto en el sistema cliente como en la pasarela IAM VPE:

  1. En el grupo de seguridad del sistema del cliente, añade una regla de salida para permitir todo el tráfico hacia el grupo de seguridad de IAM VPE Gateway.
  2. En el grupo de seguridad de IAM VPE Gateway, añade una regla de entrada para permitir todo el tráfico procedente del grupo de seguridad del sistema cliente.

No añadas reglas que especifiquen directamente las direcciones IP de VPE Gateway. Esas direcciones IP pueden cambiar si cambian las subredes de la VPC que utilizan los trabajadores de tu clúster.

Actualizar reglas personalizadas de ACL de red

Esto se aplica si utilizas listas de control de acceso (ACL) de red personalizadas en tus subredes VPC. No se recomienda el uso de ACL de red personalizadas para los clústeres de Red Hat OpenShift on IBM Cloud.

Es posible que tengas que actualizar las ACL en dos lugares:

  • Las ACL de red de la subred en la que se ejecuta el sistema cliente afectado.
  • Las ACL de red para todas las subredes de la VPC utilizadas por los trabajadores en cualquier clúster de la VPC, ya que las direcciones IP de la pasarela VPE se asignan a partir de esas subredes.

A diferencia de las reglas de los grupos de seguridad, las ACL de red requieren tanto una regla de entrada como una de salida para permitir un flujo. Consulte Acerca de las ACL de red para obtener más información.

Network ACL Las reglas son complejas de aplicar correctamente. El enfoque de diagnóstico recomendado es:

  1. Crea la puerta de enlace VPE para IAM utilizando el script.
  2. Añade una regla temporal que permita todo el tráfico entrante y saliente al principio de cada ACL de red.
  3. Si con ello se restablece la conectividad, la causa son las listas de control de acceso (ACL) de la red. A continuación, puede determinar el conjunto mínimo de reglas necesarias y sustituir las reglas temporales que lo permiten todo.

Actualizar las políticas de red de Kubernetes y Calico

Esto se aplica si tiene políticas de red de Kubernetes o Calico que permiten el tráfico de salida hacia el rango de puntos de conexión del servicio privado IBM Cloud (166.8.0.0/14) pero no permiten explícitamente la salida hacia sus subredes de VPC.

Dado que las direcciones IP de VPE Gateway se asignan a partir de las subredes de trabajadores de su VPC —y no a partir del 166.8.0.0/14 rango—, esas políticas bloquean el tráfico hacia la nueva puerta de enlace.

No es posible predecir qué direcciones IP concretas se asignan a las pasarelas VPE, y dichas direcciones IP pueden cambiar. Para cualquier política de red que restrinja la salida desde pods o nodos de trabajo, permita la salida a todas las subredes VPC que contengan nodos de trabajo del clúster. No es necesario actualizar los trabajadores y los pods que no tienen restricciones de salida.

Próximos pasos