Erstellen und Verwalten von Connector-Endpunkten

Nachdem Sie einen Connector erstellt und einen Connector-Agenten bereitgestellt haben, erstellen Sie Endpunkte, um Ihren Standort mit externen Diensten zu verbinden.

Endpunkte über die CLI erstellen

  1. Führen Sie den folgenden Befehl aus, um die ID Ihres Satellite Connectors zu ermitteln.

    ibmcloud sat connector ls

  2. Führen Sie den Befehl aus, um den Endpunkt zu erstellen.

    ibmcloud sat endpoint create --dest-hostname HOSTNAME --connector-id ID --dest-type location --dest-port PORT --name NAME --source-protocol PROTOCOL [--dest-protocol PROTOCOL] [--sni SNI]
    --connector-id ID
    Die ID des Satellite-Konnektors. Führen Sie ibmcloud sat connector ls aus, um die Connector-ID zu suchen.
    --dest-hostname HOSTNAME
    Geben Sie den vollständig qualifizierten Domänennamen (FQDN) oder die extern zugängliche IP-Adresse des Ziels an, zu dem Sie eine Verbindung herstellen möchten. Bei location Endpunkten muss dieser Wert von den Control-Plane-Hosts für Satellite-Standorte oder von den Hosts, auf denen der Agent für den Satellite Connector läuft, aufgelöst werden und von dort aus erreichbar sein.
    --dest-port PORT
    Geben Sie den Port an, an dem die Zielressource für eingehende Anforderungen empfangsbereit ist. Stellen Sie sicher, dass der Port dem Zielprotokoll entspricht.
    --dest-protocol PROTOCOL
    Geben Sie das Protokoll des Ziels an. Wenn Sie diese Option nicht angeben, wird das Zielprotokoll aus dem Quellenprotokoll übernommen. Verfügbare Optionen: TCP, TLS.
    --dest-type TYPE
    Geben Sie an, wo die Zielressource ausgeführt wird – entweder in IBM Cloud (cloud) oder an Ihrem Satellite ()-Standort (location). Verfügbare Optionen: location, cloud.
    --name NAME
    Geben Sie einen Namen für den Endpunkt an.
    --sni SNI
    Geben Sie das Server-Namenskennzeichen an, wenn Sie ein oder TLS HTTPS Quellprotokoll festlegen und möchten, dass dem TLS-Handshake ein separater Hostname hinzugefügt wird.
    --source-protocol PROTOCOL
    Geben Sie das Protokoll an, das die Quelle verwendet, um eine Verbindung zur Zielressource herzustelen. Weitere Informationen finden Sie unter Verschlüsselungsprotokolle. Verfügbare Optionen: TCP, TLS, HTTP, HTTPS, HTTP-tunnel.

  3. Überprüfen Sie, ob der Endpunkt erstellt wurde.

    ibmcloud sat endpoint ls --connector-id ID

  4. Wenn Sie einen On-Cloud-Endpunkt durch Angabe von --dest-type=cloud erstellen, müssen Sie den Connector-Agenten Ihres Standorts so konfigurieren, dass der Zielport für Anfragen von der Quellanwendung freigegeben wird. Befolgen Sie die Schritte unter Konfigurieren des Agentenports für On-Cloud-Endpunkte.

Beispielbefehle für die Erstellung von Endpunkten

Beispielbefehl zum Erstellen eines Endpunkts unter Verwendung der Quellprotokolle HTTPS und der Zielprotokolle TLS sowie zur Angabe eines SNI-Hostnamens.

ibmcloud sat endpoint create --dest-hostname server1.mydomain.com --connector-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI --dest-type location --dest-port 443 --name myendpoint --source-protocol HTTPS --dest-protocol TLS --sni mydomain.com

Beispielbefehl zum Erstellen eines Endpunkts, der das TCP-Protokoll verwendet.

ibmcloud sat endpoint create --dest-hostname server1.mydomain.com --connector-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI --dest-type location --dest-port 443 --name myendpoint --source-protocol TCP --dest-protocol TCP

Konfigurieren des Agentenports für On-Cloud-Endpunkte

On-Cloud-Endpunkte ermöglichen Ihnen den Zugriff auf IBM Cloud Ressourcen außerhalb Ihres Satellite Standortnetzes. Dazu gehört jeder öffentliche oder private Dienst, auf den Sie von Ihrem Satellite-Konto aus zugreifen können, beispielsweise ein Endpunkt für IBM Cloud IAM oder ein privater IBM Cloud Object Storage-Bucket.

Anrufe an einen On-Cloud-Endpunkt aus Ihrer Quellanwendung werden zunächst an den lokalen Connector-Agenten weitergeleitet, der an Ihrem Standort läuft. Bevor Ihre Quellanwendung auf den Endpunkt zugreifen kann, müssen Sie jedoch sicherstellen, dass der Zielport des Endpunkts, an dem der Agent lauscht, für Ihre Quellanwendung zugänglich ist. Bei Container-Plattformen wie Docker oder Rancher müssen Sie den Zielport des Endpunkts einem geeigneten Port zuordnen, der für Clients außerhalb des Containers, in dem der Agent läuft, zugänglich ist. Befolgen Sie die Schritte, um diese Anforderung zu erfüllen.

  1. Führen Sie den Befehl aus, um den Zielport abzurufen. Suchen Sie in der Ausgabe die Anschlussnummer, die in der Spalte Adresse aufgeführt ist.

    ibmcloud sat endpoints --connector-id <connector ID>

    Beispielhafte Ausgabe. In diesem Beispiel lautet die Zielanschlussnummer 29998.

    OK
ID                                          Name      Destination Type   Address      Status
A1A1AAaaaAAaA11AAAAAaA11aaaAaaaAaA_aaaaa    test123   cloud              TCP :29998   enabled

  2. Ordnen Sie den Zielport dem Container zu, indem Sie die für Ihre Containerplattform geeigneten Schritte ausführen. Für die meisten Plattformen, einschließlich Docker und Rancher, können Sie beim Starten Ihres Connector-Agenten die Option -p LISTENPORT:CONTAINERPORT verwenden.

    Bei Verwendung von Docker gibt der folgende Befehl beispielsweise den Port 8443 für den containerinternen Zielport 29998 des Endpunkts frei.

    docker run -d -p 8443:29998 --env-file /root/agent/env-files/env.txt --env LOG_LEVEL=trace -v /root/agent/env-files:/agent-env-files icr.io/ibm/satellite-connector/satellite-connector-agent:latest

    Möglicherweise müssen Sie auch mit Ihrer Container-Plattform und Ihrem Betriebssystem zusammenarbeiten, um externen Datenverkehr in das von Ihnen gewählte LISTENPORT zuzulassen. Im vorherigen Beispiel ist LISTENPORT das 8443.

  3. Jetzt ist die Ressource über die IP-Adresse oder den DNS-Namen erreichbar, die bzw. der in Ihrer Container-Plattform auf Port 8443 eingerichtet wurde.

Erstellen einer ACL-Regel (Access Control List) über die CLI

  1. Führen Sie den folgenden Befehl aus, um eine ACL-Regel für ein oder mehrere Subnetze zu erstellen und optional an einen oder mehrere Endpunkte zu binden.

    ibmcloud sat acl create --connector-id ID --name NAME --subnet SUBNET [--subnet SUBNET ...] [--endpoint ENDPOINT ...]
    --connector-id ID
    Die ID des Satellite-Konnektors. Führen Sie ibmcloud sat connector ls aus, um die Connector-ID zu suchen.
    --name NAME
    Der Name der ACL.
    --subnet SUBNET
    Ein IP- oder CIDR-Block, der von dieser ACL zugelassen wird. Der Wert muss vollständig in den folgenden CIDRs enthalten sein: 10.0.0.0/8, 161.26.0.0/16, 166.8.0.0/14, 172.16.0.0/12.
    --endpoint ENDPOINT
    Ein Name oder eine ID eines Endpunkts, der für diese ACL aktiviert werden soll.

  2. Überprüfen Sie, ob die ACL erstellt wurde.

    ibmcloud sat acl ls --connector-id ID

  3. Sie können auch Endpunkte oder Teilnetze für eine bestehende ACL hinzufügen oder entfernen.

     ibmcloud sat acl endpoint add --connector-id ID --acl-id ID --endpoint ENDPOINT [--endpoint ENDPOINT ...]
 ibmcloud sat acl endpoint rm --connector-id ID --acl-id ID --endpoint ENDPOINT [--endpoint ENDPOINT ...]
 ibmcloud sat acl subnet add --connector-id ID --acl-id ID --subnet SUBNET [--subnet SUBNET ...]
 ibmcloud sat acl subnet rm --connector-id ID --acl-id ID --subnet SUBNET [--subnet SUBNET ...]

Beispielbefehle für die Erstellung von ACLs

Beispielbefehl zum Erstellen einer ACL-Regel, die dem Subnetz 10.123.76.192/26 den Zugriff auf den Endpunkt " myendpoint erlaubt.

ibmcloud sat acl create --connector-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI --name myrule --subnet 10.123.76.192/26 --endpoint myendpoint

Beispielausgabe

OK
ACL created with ID A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI-Source-vbfea

Verwenden Sie die ID der neu erstellten ACL, um den folgenden Befehl auszuführen, um ein zweites Subnetz, 10.194.127.64/26, zur ACL hinzuzufügen.

ibmcloud sat acl subnet add --connector-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI --acl-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI-Source-vbfea --subnet 10.194.127.64/26

Führen Sie den folgenden Befehl aus, um ACLs aufzulisten. Die ACL myrule umfasst nun zwei Subnetze, 10.123.76.192/26 und 10.194.127.64/26.

ibmcloud sat acl ls --connector-id A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI

OK
ID                                                                      Name        Subnets                             Created
A1B0CDefgHilQ11ubmVjdG1yOiJjb11hnTdlWSRE1dnZla1szbDBsZyI-Source-vbfea   myrule      10.123.76.192/26,10.194.127.64/26   11 minutes ago

Endpunkte über die Konsole erstellen

  1. Klicken Sie in der Connector-Konsole auf den Connector, für den Sie einen Endpunkt erstellen möchten.

  2. Klicken Sie auf die Registerkarte Benutzerendpunkte und dann auf Endpunkt erstellen.

  3. Wählen Sie den Endpunkttyp aus.

    Agentenstandort
    Zielressource, die im selben Netzwerk wie der Connector-Agent ausgeführt wird.
    Cloud
    Zielressource, die in IBM Cloud ausgeführt wird.

  4. Klicken Sie auf Weiter

  5. Geben Sie auf der Seite Ressourcendetails die folgenden Details ein:

    Endpunktname
    Geben Sie Ihrem Endpunkt einen Namen.
    Ziel-FQDN oder -IP
    Geben Sie den vollständig qualifizierten Domänennamen oder die IP-Adresse der Zielressource ein, zu der Sie eine Verbindung herstellen möchten
    Zielport
    Geben Sie den Port ein, an dem Ihre Zielressource für eingehende Anforderungen empfangsbereit ist.

  6. Klicken Sie auf Weiter.

  7. Wählen Sie auf der Seite Protokoll das Protokoll aus, das eine Quelle verwenden muss, um eine Verbindung zum Ziel-FQDN oder zur Ziel-IP-Adresse herzustellen. Dieses Protokoll muss dem Port für Ihre Zielressource entsprechen. Weitere Informationen finden Sie im Abschnitt Endpunktprotokolle.

    • Wenn Sie das Protokoll TLS oder HTTPS ausgewählt haben und eine serverseitige Authentifizierung des Zertifikats des Ziels verbindlich machen wollen, wählen Sie das Kontrollkästchen Zielzertifikat verifizieren aus.
    • Wenn Sie das Protokoll TLS oder HTTPS ausgewählt haben, sich die Zielressource jedoch noch in der Entwicklung befindet, können Sie auf Zertifikat hochladen klicken, um Ihre Datei mit einem selbst signierten Zertifikat hinzuzufügen. Diese Datei ssl.crt muss das öffentliche Zertifikat in Base64-Codierung für den Hostnamen Ihrer Ressource enthalten und darf nicht den privaten Zertifikatsschlüssel ssl.key enthalten. Informationen zum Erstellen eines selbstsignierten Zertifikats zu Testzwecken mithilfe von OpenSSL, finden Sie in diesem Tutorial zum selbstsignierten SSL-Zertifikat.
    • Wenn Sie das Protokoll TLS oder HTTPS ausgewählt haben und zulassen möchten, dass ein separater Hostnamen für den TLS-Handshake der Ressourcenverbindung bereitgestellt wird, geben Sie den Servernamensindikator (SNI) ein.

  8. Klicken Sie auf der Seite Zugriffssteuerungslisten auf Regel erstellen.

  9. Optional: Geben Sie auf der Seite ACL-Regel eine Regelname ein und geben Sie die IBM Cloud private IP-Adressen der Clients ein, die eine Verbindung zu dem Endpunkt herstellen dürfen. Dieser Wert kann eine einzelne IP-Adresse, ein CIDR-Block oder eine durch Kommas getrennte Liste sein. Der Wert muss vollständig in den folgenden CIDRs enthalten sein: 10.0.0.0/8, 161.26.0.0/16, 166.8.0.0/14, 172.16.0.0/12.

    Wenn keine Regeln ausgewählt sind, kann jeder Client, der mit dem privaten Netzwerk IBM Cloud verbunden ist, den Endpunkt nutzen, um eine Verbindung zu der Zielressource herzustellen, die an Ihrem Standort ausgeführt wird.

  10. Legen Sie auf der Seite Verbindungseinstellungen ein Inaktivitätszeitlimit zwischen 1 und 600 fest.

  11. Klicken Sie auf Endpunkt erstellen.

Erstellen einer ACL-Regel (Access Control List) für Ihren Endpunkt

  1. Klicken Sie in der Satellite-Konsole auf den Connector, für den Sie eine ACL-Regel erstellen möchten.

  2. Klicken Sie auf der Seite Connectorübersicht auf die Registerkarte Zugriffssteuerungsliste und anschließend auf Regel erstellen.

  3. Führen Sie auf der Seite ACL-Regeln die folgenden Schritte aus.

    1. Geben Sie einen Regelnamen ein.

    2. Geben Sie die IP-Adressen der Clients ein, die eine Verbindung zum Endpunkt herstellen dürfen. Dieser Wert kann eine einzelne IP-Adresse, ein CIDR-Block oder eine durch Kommas getrennte Liste sein. Der Wert muss vollständig in den folgenden CIDRs enthalten sein: 10.0.0.0/8, 161.26.0.0/16, 166.8.0.0/14, 172.16.0.0/12.

      Wenn keine Regeln ausgewählt sind, kann jeder Client, der mit dem privaten Netzwerk IBM Cloud verbunden ist, den Endpunkt nutzen, um eine Verbindung zu der Zielressource herzustellen, die an Ihrem Standort ausgeführt wird.

    3. Wählen Sie den Endpunkt (oder mehrere Endpunkte) aus, auf den diese Regel den Zugriff an Ihrem Standort kontrollieren soll.

  4. Klicken Sie auf Erstellen