Erstellen eines Endpunkt-Gateways für den lokalen Zugriff in der Konsole

Um ein Gateway für lokale Zugriffe in der IBM Cloud Konsole zu erstellen, gehen Sie wie folgt vor:

1. Wählen Sie in der IBM Cloud Konsole das für das Navigationsmenü aus und klicken Sie dann auf „Infrastruktur-VPC“ > „Netzwerk“ > „ Virtuelle private Endpunkt-Gateways “. Die Seite 'VPE-Gateways für VPC' wird angezeigt.

2. Klicken Sie auf Erstellen, um zur Seite für die Einrichtung zu wechseln.

3. Geben Sie im Abschnitt 'Details' Werte für die folgenden Felder ein:

   • Name: Geben Sie einen eindeutigen Namen für Ihr Endpunktgateway ein.
   • Ressourcengruppe: Wählen Sie eine Ressourcengruppe für das Endpunktgateway aus. Sie können die Standardgruppe für das Endpunktgateway verwenden oder eine Gruppe in der Liste auswählen. Weitere Informationen finden Sie im Abschnitt Bewährte Verfahren zum Organisieren von Ressourcen in Ressourcengruppen.
   • Tags- Fügen Sie optional Tags hinzu, um den Zugriff auf Ihre Ressourcen zu organisieren, Nutzungskosten zu verfolgen oder zu verwalten.
   • Zugriffsverwaltungs-Tags – Optional können Sie Ressourcen auch Zugriffsverwaltungs-Tags hinzufügen, um die Zugriffskontrollbeziehungen besser zu organisieren. Das einzige unterstützte Format für Zugriffsverwaltungstags ist key:value. Weitere Informationen finden Sie unter Zugriff auf Ressourcen mithilfe von Tags steuern.
   • Virtuelle private Cloud – Wählen Sie die VPC aus, in der Sie die VPE-IP-Adresse benötigen. Basierend auf der Region der von Ihnen ausgewählten VPC stellt Ihnen das System eine Liste von IBM Diensten zur Verfügung, auf die Sie zugreifen können, um sie mit dem Endpunkt-Gateway zu verknüpfen. Wenn der gewünschte Dienst in der Region der von Ihnen ausgewählten VPC nicht angeboten wird, können Sie die Region ändern, um den Dienst in einer anderen Region auszuwählen.

   Wenn der gewünschte Service (bzw. Serviceinstanz) nicht angezeigt wird, überprüfen Sie Ihre IAM-Berechtigungen erneut. Sie können sich auch dafür entscheiden, dass eine reservierte IP-Adresse für die Bindung an das Gateway zugeordnet werden soll, oder ein VPC-Teilnetz angeben, das für das Zuordnen einer reservierten IP-Adresse für die Bindung an das Gateway verwendet werden soll.

4. Wählen Sie im Abschnitt „Sicherheitsgruppen“ die Kontrollkästchen der Sicherheitsgruppen, die Sie zuordnen möchten, in der Tabelle „Sicherheitsgruppen“ aus. Sie können dann diese Sicherheitsgruppen verwalten und ihre Sicherheitsregeln für den eingehenden Verkehr zu Ihren Endpunkt-Gateways verschärfen.

   Wenn Sie ein Endpunktgateway erstellen, ohne eine Sicherheitsgruppe anzugeben, wird die VPC-Standardsicherheitsgruppe dem Endpunktgateway zugeordnet. Weitere Informationen finden Sie unter ACLs und Sicherheitsgruppen für die Verwendung mit Endpunktgateways konfigurieren.

   Endpunkt-Gateways, die vor der Unterstützung für Sicherheitsgruppen erstellt wurden, haben keine zugeordnete Sicherheitsgruppe. Sie lassen auch den gesamten eingehenden Datenverkehr zu. Wenn Sie eine Sicherheitsgruppe an eine VPE anhängen, die keine angehängten Sicherheitsgruppen hat, können Sie diese VPE nicht wieder in einen Zustand zurückversetzen, in dem sie keine Sicherheitsgruppen hat. Sie können zum vorherigen Verhalten „Allen eingehenden Datenverkehr zulassen“ zurückkehren, indem Sie eine Sicherheitsgruppe mit Regeln für das Zulassen des gesamten eingehenden Datenverkehrs zuordnen. Diese Regel ist jedoch von Natur aus weniger sicher als eine restriktivere Sicherheitsgruppe und wird nicht empfohlen.

5. Wählen Sie im Abschnitt „ Verbindung zu einem Dienst anfordern “ die IBM Cloud Option „“ und anschließend „cloud-object-storage“ aus dem Menü.

   • Wählen Sie die Region für Ihren Dienst. Zur Optimierung der Leistung wird eine Region vorausgewählt.

   • Beachten Sie, dass alle Service-Endpunkt-Typen mit Ausnahme von Konfigurations-Service-Endpunkten ( Config-Endpunkt-Typ) Ressourcenbindungen unterstützen, die VPE-Bindungen an Object Storage Buckets oder Ressourcen ermöglichen.

6. Wählen Sie im Abschnitt „DNS freigeben“ einen der folgenden Bindungsmodi für die DNS-Auflösung aus:

   • Mit „Primär“ kann der Service-Endpunkt des VPE-Gateways für die Namensauflösung mit dem DNS-Resolver der Hub-VPC geteilt werden.
   • Durch die ressourcenbezogene Bindung kann das VPE-Gateway Ressourcenbindungen zu Cloud-Objekt-Speicher-Buckets herstellen und den Service-Ressourcenendpunkt für die Namensauflösung mit dem DNS-Resolver der Hub-VPC teilen.
   • Deaktiviert: Die Service-Endpunkte des VPE-Gateways können nicht für die Namensauflösung gemeinsam genutzt werden.

   Wenn die VPC ein DNS-Hub ist, ist die DNS-Freigabe immer auf „Primär“ eingestellt und der Modus kann nicht geändert werden.

   Wenn Sie „Per-resource binding“ (Ressourcenbezogene Bindung) oder „Disabled“ (Deaktiviert) auswählen, können Sie optionale Ressourcenbindungen erstellen, mit denen Sie einen granularen Zugriff von der ausgewählten VPC auf bestimmte Object Storage Buckets ermöglichen können. Weitere Informationen finden Sie unter Erstellen von Ressourcenbindungen.

   Während der Bereitstellung können Sie maximal 10 Buckets binden, mit der Option, später weitere hinzuzufügen.

7. Wählen Sie im Abschnitt Reservierte IP reservierte IP-Adressen aus. Sie können Folgendes auswählen:

   • Select one for me- Geben Sie ein Namenspräfix für die IP-Adressen ein, oder es wird eines für Sie ausgewählt. Wählen Sie ein oder mehrere Subnetze aus (empfohlen wird ein Subnetz pro Zone) und aktivieren Sie die Option „Automatisch freigeben“, wenn diese reservierte IP-Adresse automatisch gelöscht werden soll, wenn das Endpunkt-Gateway gelöscht wird.

   • Aus vorhandenen IPs auswählen- Wählen Sie aus der Liste der vorhandenen IP-Adressen. Wenn keine IPs vorhanden sind, klicken Sie auf „IP reservieren“, um eine zu reservieren.

     Pro AZ in einer VPC kann nur eine reservierte IP-Adresse an ein VPE-Gateway gebunden werden. Stellen Sie sicher, dass in derselben AZ in allen Subnetzen innerhalb der VPC keine anderen Bindungen vorhanden sind.

   • Später auswählen – Wählen Sie die IP-Adressen zu einem späteren Zeitpunkt nach der Erstellung des Endpunkt-Gateways aus.

8. Überprüfen Sie die Bestellübersicht und klicken Sie dann auf „ Virtuelles privates Endpunkt-Gateway erstellen “. Das Endpunkt-Gateway wird zur Nutzung angefordert.

Erstellen eines Endpunkt-Gateways für den lokalen Zugriff über die CLI

Bevor Sie beginnen, richten Sie Ihre CLI-Umgebung ein.

Um ein Gateway für den lokalen Zugriff über die CLI zu erstellen, führen Sie die folgenden Schritte aus:

1. Listen Sie die IBM Cloud-Serviceinstanzen auf, die als Ziele für Endpunktgateways infrage kommen:

   ibmcloud is endpoint-gateway-targets
   

2. Erstellen Sie ein Endpunktgateway mithilfe des folgenden Befehls:

   ibmcloud is endpoint-gateway-create --target TARGET [--target-type private_path_service_gateway | provider_cloud_service | provider_infrastructure_service] [--vpc VPC] [--name NAME] [--rip RIP --subnet SUBNET | (--new-reserved-ip NEW_RESERVED_IP1 --new-reserved-ip NEW_RESERVED_IP2 ...)] [--allow-dns-resolution-binding false | true] [--sg SG] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]
   

   Dabei gilt:

   --target-type:

   Gibt den Typ des Ziels für dieses Endpunkt-Gateway an und ist einer der folgenden Werte: private_path_service_gateway, provider_cloud_service, oder provider_infrastructure_service.

   --vpc:

   Gibt die ID oder den Namen des VPCs an.

   --target:

   Gibt den Namen des Provider-Infrastrukturdienstes oder die CRN für eine Provider-Cloud-Dienstinstanz an. Sie können den Befehl ibmcloud is endpoint-gateway-targets verwenden, um die Provider-Cloud- und Infrastrukturdienste aufzulisten, die als Ziel des Endpunkt-Gateways festgelegt werden können.

   --name:

   Gibt den neuen Namen des Endpunkt-Gateways an.

   --rip:

   Gibt die ID der reservierten IP an, die an den Endpunkt-Gateway gebunden werden soll.

   --subnet:

   ID oder Name des Teilnetzes. Dieser Name ist nur erforderlich, wenn die angegebene reservierte IP-Adresse im Namensformat vorliegt.

   --new-reserved-ip:

   Gibt die neue reservierte IP-Konfiguration im JSON-Format oder in einer JSON-Datei an. RESERVED_IP_JSON|@RESERVED_IP_JSON_FILE

   --sg:

   Gibt die ID der Sicherheitsgruppe an.

   Wenn Sie -sg nicht angeben, wird die VPC-Standardsicherheitsgruppe an das Endpunkt-Gateway gebunden.

   --resource-group-id:

   Gibt die ID der Ressourcengruppe an. Diese Option schließt sich mit --resource-group-name gegenseitig aus.

   --resource-group-name:

   Gibt den Namen der Ressourcengruppe an. Diese Option schließt sich mit --resource-group-id gegenseitig aus.

   --output:

   Gibt das Ausgabeformat an. Es wird nur JSON unterstützt.

   -q, --quiet:

   Unterdrückt ausführliche Ausgaben.

   Weitere Informationen und Befehlsbeispiele finden Sie in der VPC-CLI-Referenz.

Erstellen eines Endpunkt-Gateways für den lokalen Zugriff mit der API

Um ein Gateway für den lokalen Zugriff mit der API zu erstellen, führen Sie die folgenden Schritte aus:

1. Richten Sie die API-Umgebung ein.

2. Speichern Sie die folgenden Werte in Variablen, damit diese im API-Befehl verwendet werden können:

   • ResourceGroupId- Ermitteln Sie zunächst Ihre Ressourcengruppe und füllen Sie dann die Variable aus:

     export ResourceGroupId=<your_resourcegroup_id>
     

   • VpcId- Verwenden Sie den Befehl list vpc (mit den vorhergehenden Variablen) und füllen Sie dann die Variable anhand der angegebenen ID auf:

     export VpcId=<your_VPC_id>
     

   • TargetCrn- Der Name oder die CRN der Instanz des IBM Cloud-Dienstes, für die Sie den Endpunkt-Gateway festlegen möchten. Mit dem Befehl ibmcloud is endpoint-gateway-targets können Sie die IBM Cloud-Serviceinstanzen auflisten, die beim Festlegen des Endpunktgateway-Ziels infrage kommen.

     export TargetCrn=<CRN of a target service>
     

   • SubnetID (Optional) - Die Teilnetz-ID.

     export SubnetID=<your_subnet_id>
     

3. Wenn alle Variablen initiiert sind, wählen Sie eine der folgenden Aktionen:

   • Erstellen Sie ein Endpunkt-Gateway für die spezifische VPC:

     curl -X POST -sH "Authorization:${iam_token}" \
     "$vpc_api_endpoint/v1/endpoint_gateways?version=$api_version&generation=2" \
     -d {
     "name": endpoint-gateway-1",
     "vpc": {"id":"'$VpcId'"},
     "target": {
     "crn": "$TargetCrn",
     "resource_type": "provider_cloud_service"
     },
     "security_groups": [
     {"id": "'$sg'"}
     ]
     }'
     

     Wenn Sie ein Endpunkt-Gateway erstellen, um eine Verbindung zu einem Private Path-Dienst herzustellen, stellen Sie sicher, dass „ressourcentyp“ = „private_path_service_gateway“ ist.

     Nach dem Erstellen eines Endpunktgateways für Ihre Serviceinstanz und dem Zuordnen einer reservierten IP-Adresse müssen Sie die IP-Adressen aus Ihrem VPC-Netz an das Endpunktgateway binden. Details dazu finden Sie unter Reservierte IP-Adresse binden und Bindung aufheben. Diese gebundenen IP-Adressen bilden den VPE für den Zugriff auf den Service, der dem Endpunktgateway zugeordnet ist.

   • Erstellen Sie ein Endpunkt-Gateway mit einer zugehörigen reservierten IP-Adresse:

     curl -X POST -sH "Authorization:${iam_token}" \
     "$vpc_api_endpoint/v1/endpoint_gateways?version=$api_version&generation=2" \
     -d {
     "name": endpoint-gateway-1",
     "vpc": {"id":"'$VpcId'"},
     "target": {
     "crn": "$TargetCrn",
     "resource_type": "provider_cloud_service"
     },
     "security_groups": [
     {"id": "'$sg'"}
     ],
     "ips": [
     {"subnet": { "id": "$SubnetId" } }
     ],
     }'
     

     Wenn Sie ein Endpunkt-Gateway erstellen, um eine Verbindung zu einem Private Path-Dienst herzustellen, stellen Sie sicher, dass „Ressourcentyp“ auf private_path_service_gateway eingestellt ist.

Nachdem ein Endpunktgateway für einen IBM Cloud-Service erstellt wurde, stellt es die Endpunkte dar, die dem Service zugeordnet sind. Sie können das Endpunkt-Gateway auf verschiedene Weise bearbeiten, z. B. IPs binden/entbinden, die Ressourcengruppe ändern und Tags aktualisieren. Wenn Sie die Serviceendpunkte aus irgendeinem Grund ändern müssen, müssen Sie das Endpunktgateway löschen und erneut erstellen.

Erstellen eines Endpunkt-Gateways für den lokalen Zugriff mit Terraform

Sie können Terraform verwenden, um ein Endpunkt-Gateway zu erstellen.

Um Terraform zu verwenden, laden Sie die Terraform-CLI herunter und konfigurieren Sie das IBM Cloud Provider-Plugin. Weitere Informationen finden Sie unter Erste Schritte mit Terraform.

Im folgenden Beispiel wird ein VPE-Gateway erstellt:

resource "ibm_is_virtual_endpoint_gateway" "vpe_iam" {
  name = "${var.name}-iam-vpe"
  vpc  = ibm_is_vpc.testacc_vpc.id

  target {
    resource_type = var.vpe_target_type
    crn           = var.vpe_target_crn
  }
  dns_resolution_binding_mode = "disabled"
}
resource "ibm_is_virtual_endpoint_gateway_resource_binding" "vpe_rb" {
  name = "${var.name}-rb-vpe"
  endpoint_gateway_id  = ibm_is_virtual_endpoint_gateway.vpe_iam.id

  target {
    crn           = var.vpe_rb_target
  }
}
data "ibm_is_virtual_endpoint_gateway" "vpe_iam" {
  name = ibm_is_virtual_endpoint_gateway.vpe_iam.name
}
data "ibm_is_virtual_endpoint_gateways" "vpe_iam" {
}
data ibm_is_virtual_endpoint_gateway_resource_bindings bindings {
  endpoint_gateway_id = ibm_is_virtual_endpoint_gateway.vpe_iam.id
}
data ibm_is_virtual_endpoint_gateway_resource_binding binding {
  endpoint_gateway_id = ibm_is_virtual_endpoint_gateway.vpe_iam.id
  endpoint_gateway_resource_binding_id = ibm_is_virtual_endpoint_gateway_resource_binding.vpe_rb.endpoint_gateway_resource_binding_id
}