cloud エンドポイント

デフォルトでは、宛先リソースの IP アドレスは Satellite ロケーション内からルーティングできないため、ロケーション内のソース・クライアントは、ロケーション外で実行される宛先リソースに到達できません。 Satellite Link で Satellite エンドポイントを介してロケーション外で実行されるサービスへの Satellite からの通信を可能にする方法を示す以下のアーキテクチャーの図とステップを確認してください。

1. 宛先リソースのエンドポイントを作成すると、 Satellite のコントロールプレーンノード上で、 Satellite Linkコネクタ用のポートが開かれます。 Satellite ロケーションのソースからの要求は、Satellite Link コネクターのホスト名とポート (nae4dce0eb35957baff66-edfc0a8ba65085c5081eced6816c5b9c-c000.us-east.satellite.appdomain.cloud:30819 など) に対して行われます。 この Link のホスト名とポートは、宛先リソースのドメインとポートにマップされます。

2. Satellite リンクコネクタは、セキュリティ保護された TLS 接続を介して、 Satellite の管理プレーン上の Satellite リンクトンネルサーバーにリクエストを転送します。

3. Satellite Link トンネル・サーバーは、要求を宛先の IP アドレスとポートに解決し、要求を宛先リソースに転送します。

location エンドポイント

デフォルトでは、IBM Cloud プライベート・ネットワークに接続されているソース・クライアントは、Satellite ロケーションで実行される宛先リソースに到達できません。これは宛先リソースの IP アドレスをロケーション外からルーティングできないためです。 Satellite Link で IBM Cloud エンドポイントを介して Satellite プライベート・ネットワークに接続されたサービスからロケーションへの通信を可能にする方法を示す以下のアーキテクチャーの図とステップを確認してください。

1. Satellite ロケーションで実行されるリソースのエンドポイントを作成すると、Satellite Link トンネル・サーバーでポートが開き、エンドポイント構成に追加されます。 IBM Cloud プライベート・ネットワークに接続されているソースからの要求は、Satellite Link トンネル・サーバーのホスト名とこのポートに対して行われます (c-01.us-east.link.satellite.cloud.ibm.com:30819 など)。 この Link のホスト名とポートは、宛先リソースのドメインとポートにマップされます。

2. Satellite Link トンネル・サーバーは、要求を Satellite Link コネクターのホスト名とエンドポイント・ポートに解決し、保護された TLS 接続を介して、要求を Satellite Link コネクターに転送します。

3. Satellite Link コネクターは、要求を宛先の IP アドレスとポートに解決し、要求を宛先リソースに転送します。

Satellite Link が使用不可になった場合はどうなりますか?

ロケーションの IBM Cloud への接続が使用不可になっても、ロケーションのワークロードは独立して引き続き実行されます。 ただし、アプリケーションが Link エンドポイントを使用して IBM Cloud と通信する場合、これらのアプリと IBM Cloud の間の通信は中断されます。 また、Satellite を介して行われたホストの追加や IBM サービスに対するアクセス制御要求など、Cloud Identity and Access Managementロケーションに対して要求された変更はすべて中断されます。 接続が復旧すると、ログとイベントが IBM Cloud Logs インスタンス に送信されます。 Satellite Link は、Satellite ロケーションのマネージド・サービスをモニターして保守するために、ホストのローカル・ネットワークの基盤接続に依存しています。

ファイアウォールを介したインターネット向けポートから自分のロケーションへの固有のインバウンド・トラフィックを許可する必要がありますか?

いいえ。Satellite Link は、ロケーション管理のために、標準の Web セキュリティー・ポートを使用して、ロケーションから IBM Cloud への暗号化通信を発信します。Satellite は、ロケーションごとに固有のパブリック DNS エントリーを作成し、TCP に 32768 から 52768 の範囲のポートを割り当てます。これにより、IBM Cloud は宛先アドレスを予測可能な方法で解決できます。 Satellite ロケーションと IBM Cloud の間の Link エンドポイントを介した通信チャネルは、ホストの既存のアウトバウンド・ファイアウォール・ポリシーによって許可されます。

IBM が Link トンネルを所有している場合、データがアクセス不能であることを確認するにはどうすればよいですか? 組織のセキュリティー・ポリシーでは、ネットワークからのトンネルは許可されていません。

Satellite Link ではゼロトラスト・モデルが使用されています。つまり、デフォルトでは IBM Cloud はワークロードにアクセスできません。 IBM Link を介して Satellite Site Reliability Engineers によって開始される、I53自分のロケーションでのインフラストラクチャーの管理は、ワークロード、およびワークロードで使用されるネットワーク接続 (Link エンドポイントなど) から分離されます。 IBM Cloud ロケーションに対する Satellite のアクセスの種類について詳しくは、IBM 運用アクセスを参照してください。 アプリケーションが必要とするロケーションへのその他の接続の場合、ロケーション内の宛先リソースごとにエンドポイントをセットアップすることにより、Satellite Link を使用してレイヤー 4 通信を作成できます。 エンドポイントを介したすべての接続は、エンドポイントの完全な無効化を含め、常にユーザーの制御下にあります。

転送中のデータは、どのように保護すればよいですか?

ロケーションと IBM Cloud の間の Link エンドポイントは、2 つのレベルの暗号化 (自分のロケーションのコネクターから IBM Cloud 提供の IBM へのハイ・セキュリティー暗号化とソースと宛先リソース間のオプションの追加暗号化レイヤー) によって保護されます。

Satellite Link を介して転送されるすべてのデータは、TLS 1.3 標準を使用して暗号化されます。 このレベルの暗号化は、IBM によって管理されます。

エンドポイントの作成時には、オプションで、クライアント・ソースと宛先リソースの間のエンドポイント接続にデータ暗号化プロトコルを指定することによって、別のレベルの暗号化を指定できます。 例えば、トラフィックがソース側で暗号化されていない場合でも、インターネット経由の接続に TLS 暗号化を指定できます。 独自の署名証明書を提供すると、データの内容を公開することなく、内部セキュリティーと運用監査能力の両方を確保することができます。IBM は、暗号化された接続のみをトランスポートするため、指定するデータ暗号化プロトコル用にリソースを構成する必要があります。

TCP および TLS

宛先リソースが、特定の HTTP または HTTPS ホスト名ヘッダーを持つ要求を必要としない場合、またはホスト名の代わりにその IP アドレスへの直接要求を受け入れることができる場合は、TCP または TLS プロトコルを使用します。Satellite Link は、要求と同じプロトコルを使用して要求パケットを宛先に転送します。

HTTP および HTTPS

宛先リソースが特定の HTTP または HTTPS ホスト名ヘッダーを listen するように構成されている場合は、HTTP または HTTPS プロトコルを使用します。 HTTP および HTTPS ヘッダーの再マップを使用することにより、Satellite Link は、TCP ポート 80 (HTTP) および 443 (HTTPS) を介して複数の宛先リソースに対する要求を正しくルーティングできます。

cloud エンドポイント

Satellite ロケーションからそのロケーションの外部で実行される宛先リソースへのソース要求には、linkconnector_hostname:port などの HTTP ヘッダーが含まれます。 要求が Satellite Link コネクターから Satellite Link トンネル・サーバーに送信されると、Satellite Link トンネル・サーバーは、要求の HTTP ヘッダーを宛先ホスト名およびポートに変更します (dest_hostname:dest_port など)。 Satellite Link トンネル・サーバーは、宛先のホスト名とポートを使用して、要求を正しい宛先リソースに転送します。

location エンドポイント

ロケーションの外部で実行されるクライアントから Satellite ロケーションの宛先リソースへのソース要求には、linkserver_hostname:endpoint_port などの HTTP ヘッダーが含まれます。 Satellite Link トンネル・サーバーは、要求の HTTP ヘッダーを宛先ホスト名およびポートに変更し (dest_hostname:dest_port など)、その要求を Satellite Link コネクターに送信します。 Satellite Link コネクターは、宛先のホスト名とポートを使用して、要求を正しい宛先リソースに送信します。

HTTP トンネル

相互認証のために証明書を宛先に渡すなど、TLS 接続をソースから宛先リソースに中断せずに渡す場合は、HTTP トンネル・プロトコルを使用します。

クライアント・ソースは、宛先がロケーションの外部で実行されるか、Satellite ロケーション内で実行されるかに応じて、Satellite Link トンネル・サーバーまたはコネクター・コンポーネントに対して HTTP 接続要求を行います。 その後、Link コンポーネントが宛先リソースに接続します。 初期接続が確立された後、Link コンポーネントは、ソースと宛先の間の TCP 接続を中断なしでプロキシー処理します。

Satellite Link コンポーネントは暗号化トラフィックの TLS 終端処理に関与しないので、宛先リソースが TLS 接続を終了する必要があります。 例えば、宛先リソースが相互認証を必要とする場合、HTTP トンネル・プロトコルにより、クライアント・ソースは必要な認証証明書を宛先に直接渡すことができます。

TLS および HTTPS のサーバー・サイド証明書認証

TLS プロトコルまたは HTTPS プロトコルを選択すると、オプションで、宛先の証明書のサーバー・サイド検証を要求できます。 証明書は、宛先のホスト名に対して有効で、信頼できる認証局によって署名されている必要があります。

宛先リソースに証明書がある場合、エンドポイントの作成時に証明書を指定する必要はありません。 ただし、まだ開発中の宛先リソースへのアクセスをテストしており、信頼できる証明書がまだない場合は、自己署名証明書をアップロードして検証できます。 この ssl.crt ファイルには、リソースのホスト名用の Base64 エンコードの公開証明書が含まれている必要があります。ssl.key 証明書秘密鍵は含めないでください。 OpenSSL, を使用してテスト用の自己署名証明書を作成するには、この 自己署名証明書（ SSL ）のチュートリアルを参照してください。

ソース・リストによるアクセスの制限

デフォルトでは、エンドポイントをセットアップした後に、すべてのクライアントがそのエンドポイントを介して宛先リソースに接続できます。 例えば、location エンドポイントの場合、IBM Cloud プライベート・ネットワークに接続されているすべてのクライアントは、このエンドポイントを使用して、Satellite ロケーションで実行される宛先リソースに接続できます。 宛先リソースへのアクセスを制限するために、ソース IP 範囲のリストを指定して、信頼できるクライアントのみがエンドポイントにアクセスできるようにすることができます。 現在は、タイプが location のエンドポイントに対してのみソース・リストを作成でき、タイプが cloud のエンドポイントのソース・リストを作成することはできません。

ユーザー開始イベントの監査

エンドポイントのソースリストを設定した後、Linkエンドポイントにおけるユーザーによるイベントを監視するための監査設定を行うことができます。 IBM Cloud Satellite は IBM Cloud Logs と連携し、そのロケーション内のすべてのLinkエンドポイントに関する監査イベントを収集して、 IBM Cloud Logs インスタンスに送信します。 監査を開始するには、エンドポイント・アクションのイベントの監査を参照してください。

Link エンドポイントを使用して

同じ Satellite ロケーションにあるリソース同士を接続する。

いいえ 同じ場所にあるリソース間で Link エンドポイントを作成することはできません。 代わりに、リソースは相互に直接アクセスできます。 たとえば、 Satellite の Red Hat OpenShift クラスターで実行されるアプリは、同じロケーションにあるデータベースにアクセスするために Satellite Linkを経由して通信する必要はなく、そのロケーションのプライベートネットワークを介して直接そのデータベースにアクセスすることができます。

Red Hat OpenShift クラスターで実行されているアプリやサービスを、 Satellite で公開するにはどうすればよいですか？

使用可能なオプションを確認するには、Satellite クラスターでのアプリの公開を参照してください。

IBM Cloud パブリック・ネットワークにあるネットワーク同士をブリッジ接続する (VPC スパンニングなど)。

いいえ 代わりに、ネットワーク・セットアップに推奨されるブリッジング・ソリューションを使用してください。 例えば、Virtual Private Network (VPN) for VPC や IBM Cloud® Direct Link を使用できます。

他のパブリック・クラウドに接続する。

はい。 Satellite Link を使用すると、他のパブリック・クラウドで実行されるリソースの cloud エンドポイントを作成できます。

例: Satellite ロケーションから別のクラウド・プロバイダー内のサービスへの接続

Satellite ロケーションのホストで稼働するサーバーから、Amazon Web Services で実行されるサービスにデータを送信するとします。 Satellite ネットワーク内で終了する IBM Cloud Link トンネルが AWS ネットワーク内のサービスにアクセスできるように、このサービスは誰でもアクセスできる必要があります。

この接続を確立するには、まず cloud エンドポイントを作成します。 AWS で実行されるサービスを宛先リソースとして指定します。 次に、オンプレミスのホスト上のサーバーが、そのロケーションのコントロールプレーンノードにある「 Satellite 」リンクコネクタのホスト名に直接接続します。「 Satellite 」リンクは、このリクエストを、 AWS で実行されているサービス用に作成したクラウドエンドポイントに転送します。

例: Satellite から IBM Cloud ロケーションへの制限付きアクセスの有効化および監査

データベースには特定の国のオンプレミスのデータ・センターで実行する法的要件があるため、Satellite ではなく IBM Cloud ロケーションでデータベースを実行します。 ただし、Satellite プライベート・ネットワークから IBM Cloud ロケーションのデータベースに接続する必要があります。

この接続を確立するには、まず location エンドポイントを作成します。 Satellite ロケーションで実行されるデータベースを宛先リソースとして指定します。 次に、IBM Cloud プライベート・ネットワーク内のクライアントは、Satellite Link トンネル・サーバーのホスト名に直接接続します。Satellite Link は、この要求をロケーション・データベース用に作成したロケーション・エンドポイントに転送します。

最後に、エンタープライズ・セキュリティーと監査コンプライアンスを維持するために、ソース IP 範囲のリストを指定して、パブリック・クラウド内の信頼できるクライアントのみがエンドポイントを介してロケーション・データベースにアクセスできるようにします。 その後、IBM Cloud Logs インスタンスをセットアップして、Satellite ロケーション内のすべてのエンドポイントの監査ログが自動的に収集されるようにします。