Erstellen eines Endpunkt-Gateways in der Konsole

Gehen Sie folgendermaßen vor, um ein Endpunkt-Gateway in der Konsole IBM Cloud zu erstellen:

1. Wählen Sie in der Cloud- IBM Cloud das Navigationsmenü aus und klicken Sie dann auf das Symbol „Infrastruktur- > „Netzwerk“ > „Virtuelle private Endpunkt-Gateways“. Die Seite 'VPE-Gateways für VPC' wird angezeigt.

2. Klicken Sie auf Erstellen, um zur Seite für die Einrichtung zu wechseln.

3. Geben Sie im Abschnitt 'Details' Werte für die folgenden Felder ein:

   • Name: Geben Sie einen eindeutigen Namen für Ihr Endpunktgateway ein.
   • Ressourcengruppe: Wählen Sie eine Ressourcengruppe für das Endpunktgateway aus. Sie können die Standardgruppe für das Endpunktgateway verwenden oder eine Gruppe in der Liste auswählen. Weitere Informationen finden Sie im Abschnitt Bewährte Verfahren zum Organisieren von Ressourcen in Ressourcengruppen.
   • Tags- Fügen Sie optional Tags hinzu, um den Zugriff auf Ihre Ressourcen zu organisieren, Nutzungskosten zu verfolgen oder zu verwalten.
   • Zugriffsmanagementtags-Sie können optional auch Zugriffsmanagementtags zu Ressourcen hinzufügen, um die Organisation von Zugriffssteuerungsbeziehungen zu unterstützen. Das einzige unterstützte Format für Zugriffsverwaltungstags ist key:value. Weitere Informationen finden Sie unter Zugriff auf Ressourcen mithilfe von Tags steuern.
   • Virtuelle private Cloud- Wählen Sie die VPC aus, für die Sie die VPE-IP-Adresse benötigen. Basierend auf der Region der VPC, die Sie ausgewählt haben, stellt das System eine Liste mit IBM Services bereit, auf die Sie zugreifen können, um sie dem Endpunktgateway zuzuordnen. Wenn der Zielservice nicht in der Region der von Ihnen ausgewählten VPC angeboten wird, können Sie die Region ändern, um den Service in einer anderen Region auszuwählen.

   Wenn der gewünschte Service (bzw. Serviceinstanz) nicht angezeigt wird, überprüfen Sie Ihre IAM-Berechtigungen erneut. Sie können sich auch dafür entscheiden, dass eine reservierte IP-Adresse für die Bindung an das Gateway zugeordnet werden soll, oder ein VPC-Teilnetz angeben, das für das Zuordnen einer reservierten IP-Adresse für die Bindung an das Gateway verwendet werden soll.

4. Wählen Sie im Abschnitt „Sicherheitsgruppen“ die Kontrollkästchen der Sicherheitsgruppen, die Sie zuordnen möchten, in der Tabelle „Sicherheitsgruppen“ aus. Sie können dann diese Sicherheitsgruppen verwalten und ihre Sicherheitsregeln für den eingehenden Verkehr zu Ihren Endpunkt-Gateways verschärfen.

   Wenn Sie ein Endpunktgateway erstellen, ohne eine Sicherheitsgruppe anzugeben, wird die VPC-Standardsicherheitsgruppe dem Endpunktgateway zugeordnet. Weitere Informationen finden Sie unter ACLs und Sicherheitsgruppen für die Verwendung mit Endpunktgateways konfigurieren.

   Endpunkt-Gateways, die vor der Unterstützung von Sicherheitsgruppen erstellt wurden, verfügen nicht über eine angehängte Sicherheitsgruppe. Sie lassen auch den gesamten eingehenden Datenverkehr zu. Wenn Sie eine Sicherheitsgruppe an ein VPE anhängen, das keine angehängten Sicherheitsgruppen hat, können Sie dieses VPE nicht in einen Zustand zurückversetzen, in dem es keine Sicherheitsgruppen hat. Sie können zum vorherigen Verhalten „Allen eingehenden Datenverkehr zulassen“ zurückkehren, indem Sie eine Sicherheitsgruppe mit Regeln für das Zulassen des gesamten eingehenden Datenverkehrs zuordnen. Diese Regel ist jedoch von Natur aus weniger sicher als eine restriktivere Sicherheitsgruppe und wird nicht empfohlen.

5. Wählen Sie im Abschnitt Verbindung zu einem Dienst anfordern entweder einen IBM Cloud oder einen Nicht-IBM Cloud-Dienst aus, auf den Sie mit diesem Endpunkt-Gateway zugreifen möchten.

   • Wählen Sie für IBM Cloud-Services ein verfügbares IBM Cloud-Serviceangebot im Menü und anschließend die zugehörige Region aus. Zur Optimierung der Leistung wird eine Region vorausgewählt.

   • FürIBM Cloud geben Sie den Cloud-Ressourcennamen (CRN) des Private Path-Dienstes ein (den Sie von Ihrem Dienstanbieter erhalten).

     Ihre Verbindungsanforderung wird zur Überprüfung an den Service-Provider gesendet.

     Die Überprüfung kann auf der Grundlage der vom Anbieter gewählten Kontopolitik automatisiert erfolgen, oder sie kann Tage dauern, wenn sich der Anbieter für eine manuelle Überprüfung seiner Anfragen entschieden hat. Wenn Ihre Anforderung zulässig ist, werden Sie benachrichtigt und können dann auf den Service zugreifen. Wenn Ihre Anfrage abgelehnt wird, wenden Sie sich an den Service-Provider.

6. Wählen Sie im Abschnitt „DNS freigeben“ einen der folgenden Bindungsmodi für die DNS-Auflösung aus:

   • Mit „Primär“ können die Service-Endpunkte des VPE-Gateways in der DNS-freigegebenen VPC für die Namensauflösung mit der DNS-Hub-VPC geteilt werden.
   • Deaktiviert: Die Service-Endpunkte des VPE-Gateways können nicht für die Namensauflösung gemeinsam genutzt werden.

   Wenn die VPC ein DNS-Hub ist, ist die DNS-Freigabe immer auf „Primär“ eingestellt und der Modus kann nicht geändert werden.

7. Wählen Sie im Abschnitt Reservierte IP reservierte IP-Adressen aus. Sie können Folgendes auswählen:

   • Select one for me- Geben Sie ein Namenspräfix für die IP-Adressen ein, oder es wird eines für Sie ausgewählt. Wählen Sie ein oder mehrere Subnetze aus (empfohlen wird ein Subnetz pro Zone) und aktivieren Sie die Option „Automatisch freigeben“, wenn diese reservierte IP-Adresse automatisch gelöscht werden soll, wenn das Endpunkt-Gateway gelöscht wird.

   • Aus vorhandenen IPs auswählen- Wählen Sie aus der Liste der vorhandenen IP-Adressen. Wenn keine IPs vorhanden sind, klicken Sie auf „IP reservieren“, um eine zu reservieren.

     Pro AZ in einer VPC kann nur eine reservierte IP-Adresse an ein VPE-Gateway gebunden werden. Stellen Sie sicher, dass in derselben AZ in allen Subnetzen innerhalb der VPC keine anderen Bindungen vorhanden sind.

   • Später auswählen – Wählen Sie die IP-Adressen zu einem späteren Zeitpunkt nach der Erstellung des Endpunkt-Gateways aus.

8. Überprüfen Sie die Bestellübersicht und klicken Sie dann auf Virtuelles privates Endpunkt-Gateway erstellen. Das Endpunktgateway wird zur Verwendung angefordert.

Erstellen eines Endpunkt-Gateways über die CLI

Bevor Sie beginnen, richten Sie Ihre CLI-Umgebung ein.

Gehen Sie folgendermaßen vor, um ein Endpunkt-Gateway über die CLI zu erstellen:

1. Listen Sie die IBM Cloud-Serviceinstanzen auf, die als Ziele für Endpunktgateways infrage kommen:

   ibmcloud is endpoint-gateway-targets
   

2. Erstellen Sie ein Endpunktgateway mithilfe des folgenden Befehls:

   ibmcloud is endpoint-gateway-create --target TARGET [--target-type private_path_service_gateway | provider_cloud_service | provider_infrastructure_service] [--vpc VPC] [--name NAME] [--rip RIP --subnet SUBNET | (--new-reserved-ip NEW_RESERVED_IP1 --new-reserved-ip NEW_RESERVED_IP2 ...)] [--allow-dns-resolution-binding false | true] [--sg SG] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]
   

   Dabei gilt:

   --target-type:

   Gibt den Typ des Ziels für dieses Endpunkt-Gateway und eine der folgenden Angaben an: private_path_service_gateway, provider_cloud_service, oder provider_infrastructure_service.

   --vpc:

   Gibt die ID oder den Namen des VPCs an.

   --target:

   Gibt den Namen des Provider-Infrastrukturdienstes oder die CRN für eine Provider-Cloud-Dienstinstanz an. Sie können den Befehl ibmcloud is endpoint-gateway-targets verwenden, um die Provider-Cloud- und Infrastrukturdienste aufzulisten, die für die Festlegung als Endpunkt-Gateway-Ziel qualifiziert sind.

   --name:

   Gibt den neuen Namen des Endpunkt-Gateways an.

   --rip:

   Gibt die ID der reservierten IP an, die an den Endpunkt-Gateway gebunden werden soll.

   --subnet:

   ID oder Name des Teilnetzes. Dieser Name ist nur erforderlich, wenn die angegebene reservierte IP-Adresse im Namensformat vorliegt.

   --new-reserved-ip:

   Gibt die neue reservierte IP-Konfiguration im JSON-Format oder eine JSON-Datei an, RESERVED_IP_JSON|@RESERVED_IP_JSON_FILE.

   --sg:

   Gibt die ID der Sicherheitsgruppe an.

   Wenn Sie -sg nicht angeben, wird die VPC-Standardsicherheitsgruppe an das Endpunkt-Gateway gebunden.

   --resource-group-id:

   Gibt die ID der Ressourcengruppe an. Diese Option schließt sich mit --resource-group-name gegenseitig aus.

   --resource-group-name:

   Gibt den Namen der Ressourcengruppe an. Diese Option schließt sich mit --resource-group-id gegenseitig aus.

   --output:

   Gibt das Ausgabeformat an. Es wird nur JSON unterstützt.

   -q, --quiet:

   Unterdrückt die ausführliche Ausgabe.

   Weitere Informationen und Befehlsbeispiele finden Sie in der VPC-CLI-Referenz.

Erstellen eines Endpunkt-Gateways mit der API

Gehen Sie folgendermaßen vor, um ein Endpunkt-Gateway mit der API zu erstellen:

1. Richten Sie die API-Umgebung ein.

2. Speichern Sie die folgenden Werte in Variablen, damit diese im API-Befehl verwendet werden können:

   • ResourceGroupId- Ermitteln Sie zunächst Ihre Ressourcengruppe und füllen Sie dann die Variable aus:

     export ResourceGroupId=<your_resourcegroup_id>
     

   • VpcId- Verwenden Sie den Befehl list vpc (mit den vorangehenden Variablen) und füllen Sie dann die Variable anhand der angegebenen ID auf:

     export VpcId=<your_VPC_id>
     

   • TargetCrn- Der Name oder die CRN der Instanz des IBM Cloud-Dienstes, für die Sie das Endpunkt-Gateway festlegen möchten. Mit dem Befehl ibmcloud is endpoint-gateway-targets können Sie die IBM Cloud-Serviceinstanzen auflisten, die beim Festlegen des Endpunktgateway-Ziels infrage kommen.

     export TargetCrn=<CRN of a target service>
     

   • SubnetID (Optional) - Die Teilnetz-ID.

     export SubnetID=<your_subnet_id>
     

3. Wenn alle Variablen initiiert sind, wählen Sie eine der folgenden Aktionen:

   • Erstellen Sie ein Endpunkt-Gateway für die spezifische VPC:

     curl -X POST -sH "Authorization:${iam_token}" \
     "$vpc_api_endpoint/v1/endpoint_gateways?version=$api_version&generation=2" \
     -d {
     "name": endpoint-gateway-1",
     "vpc": {"id":"'$VpcId'"},
     "target": {
     "crn": "$TargetCrn",
     "resource_type": "provider_cloud_service"
     },
     "security_groups": [
     {"id": "'$sg'"}
     ]
     }'
     

     Wenn Sie ein Endpunktgateway erstellen, um eine Verbindung zu einem privaten Pfadservice herzustellen, stellen Sie sicher, dass '" resource type "=" private_path_service_gateway " ' ist.

     Nach dem Erstellen eines Endpunktgateways für Ihre Serviceinstanz und dem Zuordnen einer reservierten IP-Adresse müssen Sie die IP-Adressen aus Ihrem VPC-Netz an das Endpunktgateway binden. Details dazu finden Sie unter Reservierte IP-Adresse binden und Bindung aufheben. Diese gebundenen IP-Adressen bilden den VPE für den Zugriff auf den Service, der dem Endpunktgateway zugeordnet ist.

   • Erstellen Sie ein Endpunkt-Gateway mit einer zugehörigen reservierten IP-Adresse:

     curl -X POST -sH "Authorization:${iam_token}" \
     "$vpc_api_endpoint/v1/endpoint_gateways?version=$api_version&generation=2" \
     -d {
     "name": endpoint-gateway-1",
     "vpc": {"id":"'$VpcId'"},
     "target": {
     "crn": "$TargetCrn",
     "resource_type": "provider_cloud_service"
     },
     "security_groups": [
     {"id": "'$sg'"}
     ],
     "ips": [
     {"subnet": { "id": "$SubnetId" } }
     ],
     }'
     

     Bei der Erstellung eines Endpunkt-Gateways für die Verbindung zu einem Dienst des privaten Pfads ist darauf zu achten, dass der "Ressourcentyp" auf private_path_service_gateway eingestellt ist.

Nachdem ein Endpunktgateway für einen IBM Cloud-Service erstellt wurde, stellt es die Endpunkte dar, die dem Service zugeordnet sind. Sie können das Endpunkt-Gateway auf verschiedene Weise bearbeiten, z. B. IPs binden/entbinden, die Ressourcengruppe ändern und Tags aktualisieren. Wenn Sie die Serviceendpunkte aus irgendeinem Grund ändern müssen, müssen Sie das Endpunktgateway löschen und erneut erstellen.

Endpunktgateway mit Terraform erstellen

Mit Terraform können Sie ein Endpunktgateway erstellen.

Um Terraform zu verwenden, laden Sie die Terraform-CLI herunter und konfigurieren Sie das IBM Cloud Provider-Plugin. Weitere Informationen finden Sie unter Einführung in Terraform.

Im folgenden Beispiel wird ein VPE-Gateway erstellt:

resource "ibm_is_virtual_endpoint_gateway" "example" {

  name = "example-endpoint-gateway"
  target {
    name          = "ibm-ntp-server"
    resource_type = "provider_infrastructure_service"
  }
  vpc            = ibm_is_vpc.example.id
  resource_group = data.ibm_resource_group.example.id
  security_groups = [ibm_is_security_group.example.id]
}

resource "ibm_is_virtual_endpoint_gateway" "example1" {
  name = "example-endpoint-gateway-1"
  target {
    name          = "ibm-ntp-server"
    resource_type = "provider_infrastructure_service"
  }
  vpc = ibm_is_vpc.example.id
  ips {
    subnet = ibm_is_subnet.example.id
    name   = "example-reserved-ip"
  }
  resource_group = data.ibm_resource_group.example.id
  security_groups = [ibm_is_security_group.example.id]
}

resource "ibm_is_virtual_endpoint_gateway" "example3" {
  name = "example-endpoint-gateway-2"
  target {
    name          = "ibm-ntp-server"
    resource_type = "provider_infrastructure_service"
  }
  vpc = ibm_is_vpc.example.id
  ips {
    subnet = ibm_is_subnet.example.id
    name   = "example-reserved-ip"
  }
  resource_group = data.ibm_resource_group.example.id
  security_groups = [ibm_is_security_group.example.id]
}

resource "ibm_is_virtual_endpoint_gateway" "example4" {
  name = "example-endpoint-gateway-3"
  target {
    crn           = "crn:v1:bluemix:public:cloud-object-storage:global:::endpoint:s3.direct.mil01.cloud-object-storage.appdomain.cloud"
    resource_type = "provider_cloud_service"
  }
  vpc            = ibm_is_vpc.example.id
  resource_group = data.ibm_resource_group.example.id
  security_groups = [ibm_is_security_group.example.id]
}