使用 API 创建网络区域

您可以使用 create-zone 命令来创建网络区域。 有关更多信息，请参阅 API 文档。

VPC 基础设施服务的属性 serviceRef 为 is。 Cloud Block Storage 是 server-protect，而 File Storage for VPC 是 is.share。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "is"
      }
    }
  ]
}

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "server-protect"
      }
    }
  ]
}

使用 CLI 创建网络区域

1. 要通过命令行界面创建网络区域，请安装CBR命令行界面插件。

2. 使用 命令 cbr-zone-create 将网络位置、VPC 和服务引用添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考 文档。

   要查找可用服务引用目标的列表，请运行 命令ibmcloud cbr service-ref-targets。 VPC 基础设施服务的 service_name 费用为 is。 Cloud Block Storage 是 server-protect，而 File Storage for VPC 是 is.share。

   以下示例命令将 is 服务（在 IBM Cloud® 控制台中称为 VPC基础设施服务 ）添加到网络区域。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=is
   

   下面的示例命令添加了 server-protect 服务，称为 Cloud Block Storage IBM Cloud® 的服务添加到网络区域。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=server-protect
   

从控制台创建网络区域

1. 确定要添加到允许列表的资源。
2. 请 检查服务引用 部分，以确定是否需要向您的网络区域添加任何服务引用。
3. 执行以下步骤以 在控制台中创建基于上下文的限制。

使用 API 创建规则

查看以下示例请求以创建规则。 有关 v1/rules 的更多信息 API，请参阅 API 文档。

创建规则后，可能需要最多 10 分钟才能更新该规则。

以下示例有效载荷创建了一条规则，用于保护虚拟服务器实例，并只允许从指定的网络区域通过专用端点访问。仅允许从指定网络区域通过专用端点进行访问。

{
  "contexts": [
    {
      "attributes": [
        {
          "name": "endpointType",
          "value": "private"
        },
        {
          "name": "networkZoneId",
          "value": "45ec64065b7c2bf84b3edec803335111"
        }
      ]
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "resourceGroupId",
          "value": "1171749e3a8545069d04e6fca1ded18f"
        },
        {
          "name": "serviceName",
          "value": "is"
        },
        {
          "name": "instanceId",
          "value": "*"
        }
      ]
    }
  ]
}

使用命令行界面 (CLI) 创建规则

1. 要从 CLI 创建规则，请 安装 CBR CLI 插件。
2. 使用 ibmcloud cbr rule-create 命令 来创建 CBR 规则。 有关更多信息，请参阅 CBR CLI 参考。

以下示例是强制规则。 您可以通过添加 --enforcement-mode report 使其仅报告。

以下示例 CLI 命令为当前帐户中的所有虚拟服务器实例创建基于上下文的限制规则:

ibmcloud cbr rule-create  --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下示例 CLI 命令为当前帐户中的特定块存储卷创建基于上下文的限制规则:

ibmcloud cbr rule-create --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for volume" --service-name is --resource-attributes "volumeId=UUID_OF_THE_VOLUME"

以下示例 CLI 命令为当前帐户中的所有虚拟服务器实例创建基于上下文的限制规则，并限制对专用端点的访问:

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下示例 CLI 命令为资源组中的所有虚拟服务器实例创建基于上下文的限制规则，并限制对专用端点的访问:

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*" --resource-group-id 1171749e3a8545069d04e6fca1ded18f

在控制台中创建规则

1. 转至 IBM Cloud® 控制台中的 管理 > 基于上下文的限制。

2. 选择“规则”，然后单击“创建”。

3. 选择 VPC 基础架构服务，然后单击 下一步。

4. 将规则的作用域限定为 所有资源 或 特定资源。 有关详细信息，请参阅 保护 VPC 基础设施服务资源。 单击继续。

5. 定义允许的端点类型。

   • 保持切换设置为 No 以允许所有端点类型。
   • 将切换设置为 Yes 以仅允许特定端点类型，然后从列表中进行选择。

6. 选择一个或多个现有网络区域，或单击 “创建”来创建网络区域。

   上下文定义可从中访问资源的位置，从而有效地将网络区域链接到规则。

7. 点击 “添加” 将您的配置添加到摘要中。 单击下一步。

8. 命名规则并选择要如何实施该规则。 然后，单击创建。