API を使用したネットワークゾーンの作成

create-zone コマンドを使用して、ネットワーク・ゾーンを作成できます。 詳しくは、API資料をご覧ください。

VPC インフラストラクチャ サービスの serviceRef 属性は です is。 Cloud Block Storage は server-protect、そして File Storage for VPC は is.share。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "is"
      }
    }
  ]
}

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "server-protect"
      }
    }
  ]
}

CLI を使用したネットワークゾーンの作成

1. ネットワークゾーンをCLIから作成するには、 CBR CLIプラグインをインストールしてください。

2. ネットワークロケーション、VPC、およびサービス参照をネットワークゾーンに追加するには、`` cbr-zone-create コマンドを使用します。 詳細については、CBR CLI リファレンス を参照してください。

   利用可能なサービス参照ターゲットの一覧を表示するには、 コマンドibmcloud cbr service-ref-targets を実行します。 VPC インフラストラクチャ サービスの service_name 料金は です is。 Cloud Block Storage は server-protect、であり File Storage for VPC、はである is.share。

   次のコマンド例は、 IBM Cloud® コンソールで VPCインフラストラクチャサービスと呼ばれるサービスをネットワークゾーンに追加します is。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=is
   

   以下のコマンド例では、server-protect サービス、と呼ばれるCloud Block StorageでIBM Cloud®コンソールをネットワーク ゾーンに追加します。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=server-protect
   

コンソールからのネットワーク・ゾーンの作成

1. 許可リストに追加するリソースを決定します。
2. サービス参照 セクションを確認し、ネットワークゾーンにサービス参照を追加する必要があるかどうかを確認してください。
3. コンソールでコンテキスト・ベースの制限を作成する には、以下の手順を実行します。

API の使用によるルールの作成

ルールを作成するための要求例を以下に示します。 v1/rules について詳しくは、以下を参照してください。 API については、 API の資料 を参照してください。

ルールを作成した後、そのルールを更新するまでに最大で 10 分かかる場合があります。

次のペイロード例では、仮想サーバーインスタンスを保護し、プライベート エンドポイントを介した指定ネットワークゾーンからのアクセスのみを許可 するルールを作成します。 ルールを作成します。

{
  "contexts": [
    {
      "attributes": [
        {
          "name": "endpointType",
          "value": "private"
        },
        {
          "name": "networkZoneId",
          "value": "45ec64065b7c2bf84b3edec803335111"
        }
      ]
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "resourceGroupId",
          "value": "1171749e3a8545069d04e6fca1ded18f"
        },
        {
          "name": "serviceName",
          "value": "is"
        },
        {
          "name": "instanceId",
          "value": "*"
        }
      ]
    }
  ]
}

CLI を使用したルールの作成

1. CLI からルールを作成するには、 CBR CLI プラグインをインストールします。
2. ibmcloud cbr rule-create コマンド を使用して、CBR ルールを作成します。 詳しくは、CBR CLI リファレンス を参照してください。

以下の例は施行規則です。 それらをレポート専用にするには、 --enforcement-mode report を追加します。

以下の CLI コマンド例では、現行アカウント内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成します。

ibmcloud cbr rule-create  --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下の CLI コマンド例は、現行アカウント内の特定のブロック・ストレージ・ボリュームに対するコンテキスト・ベースの制限ルールを作成します。

ibmcloud cbr rule-create --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for volume" --service-name is --resource-attributes "volumeId=UUID_OF_THE_VOLUME"

以下の CLI コマンド例では、現行アカウント内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成し、プライベート・エンドポイントへのアクセスを制限します。

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下の CLI コマンド例では、リソース・グループ内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成し、プライベート・エンドポイントへのアクセスを制限します。

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*" --resource-group-id 1171749e3a8545069d04e6fca1ded18f

コンソールでのルールの作成

1. IBM Cloud® コンソールで 「管理」 > 「コンテキスト・ベースの制限」 に移動します。

2. 選択するルールクリック作成する。

3. 「VPC インフラストラクチャー・サービス」 を選択し、 「次へ」 をクリックします。

4. ルールの適用範囲を「 すべてのリソース 」または「 特定のリソース 」に設定します。 詳細については、「 VPCインフラストラクチャサービスのリソースの保護 」を参照してください。 「続行」 をクリックします。

5. 許可されるエンドポイント・タイプを定義します。

   • すべてのエンドポイント・タイプを許可するには、トグルを 「いいえ」 に設定したままにします。
   • 特定のエンドポイント・タイプのみを許可するには、トグルを 「はい」 に設定し、リストから選択します。

6. 既存のネットワークゾーンを選択するか、 [作成] をクリックしてネットワークゾーンを作成します。

   コンテキストは、リソースにアクセスできる場所を定義し、ネットワーク・ゾーンをルールに効果的にリンクします。

7. [追加 ] をクリックして、設定を概要に追加してください。 **「次へ」**をクリックします。

8. ルールに名前を付け、適用する方法を選択します。 次に、「Create」 をクリックします。