APIを使用したネットワーク・ゾーンの作成

create-zone コマンドを使用して、ネットワーク・ゾーンを作成できます。 詳しくは、API資料をご覧ください。

VPC インフラストラクチャ・サービスの serviceRef 属性は is で、 Cloud Block Storage は次のとおりです server-protect で、 File Storage for VPC は is.share。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "is"
      }
    }
  ]
}

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "server-protect"
      }
    }
  ]
}

CLIを使用したネットワーク・ゾーンの作成

1. CLI からネットワーク・ゾーンを作成するには、以下のようにします。 CBR CLI プラグインをインストールします。

2. cbr-zone-create コマンドを使用して、ネットワーク・ロケーション、VPC、およびサービス参照をネットワーク・ゾーンに追加します。 詳しくは、CBR を参照してください。 CLI リファレンス。

   使用可能なサービス参照ターゲットのリストを見つけるには、 ibmcloud cbr service-ref-targets を実行します。 コマンド。 この service_name VPC インフラストラクチャサービスについては、 をご覧ください、 isCloud Block Storage は server-protect、そして File Storage for VPC は is.share です。

   以下のコマンド例では、is サービス、と呼ばれるVPC インフラストラクチャ サービスで IBM Cloud®コンソールをネットワーク ゾーンに追加します。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=is
   

   以下のコマンド例では、server-protect サービス、と呼ばれるCloud Block StorageでIBM Cloud®コンソールをネットワーク ゾーンに追加します。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=server-protect
   

コンソールからのネットワーク・ゾーンの作成

1. 許可リストに追加するリソースを決定します。
2. service references セクションで、ネットワーク・ゾーンにサービス参照を追加する必要があるかどうかを確認します。
3. コンソールでコンテキスト・ベースの制限を作成する には、以下の手順を実行します。

API の使用によるルールの作成

ルールを作成するための要求例を以下に示します。 v1/rules について詳しくは、以下を参照してください。 API については、 API の資料 を参照してください。

ルールを作成した後、そのルールを更新するまでに最大で 10 分かかる場合があります。

以下のペイロード例では、仮想サーバー・インスタンスを保護し、プライベート・エンドポイントを介して指定されたネットワーク・ゾーンからのみアクセスを許可するルールを作成します。

{
  "contexts": [
    {
      "attributes": [
        {
          "name": "endpointType",
          "value": "private"
        },
        {
          "name": "networkZoneId",
          "value": "45ec64065b7c2bf84b3edec803335111"
        }
      ]
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "resourceGroupId",
          "value": "1171749e3a8545069d04e6fca1ded18f"
        },
        {
          "name": "serviceName",
          "value": "is"
        },
        {
          "name": "instanceId",
          "value": "*"
        }
      ]
    }
  ]
}

CLIを使用したルールの作成

1. CLI からルールを作成するには、 CBR CLI プラグインをインストールします。
2. ibmcloud cbr rule-create コマンド を使用して、CBR ルールを作成します。 詳しくは、CBR CLI リファレンス を参照してください。

このセクションの例は、適用規則です。 それらをレポート専用にするには、 --enforcement-mode report を追加します。

以下の CLI コマンド例では、現行アカウント内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成します。

ibmcloud cbr rule-create  --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下の CLI コマンド例は、現行アカウント内の特定のブロック・ストレージ・ボリュームに対するコンテキスト・ベースの制限ルールを作成します。

ibmcloud cbr rule-create --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for volume" --service-name is --resource-attributes "volumeId=UUID_OF_THE_VOLUME"

以下の CLI コマンド例では、現行アカウント内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成し、プライベート・エンドポイントへのアクセスを制限します。

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下の CLI コマンド例では、リソース・グループ内のすべての仮想サーバー・インスタンスに対してコンテキスト・ベースの制限ルールを作成し、プライベート・エンドポイントへのアクセスを制限します。

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*" --resource-group-id 1171749e3a8545069d04e6fca1ded18f

コンソールでのルールの作成

1. IBM Cloud® コンソールで 「管理」 > 「コンテキスト・ベースの制限」 に移動します。

2. 選択するルールクリック作成する。

3. 「VPC インフラストラクチャー・サービス」 を選択し、 「次へ」 をクリックします。

4. ルールを「 すべてのリソース 」または「 特定のリソース 」に適用します。 詳しくは、 VPC インフラストラクチャー・サービス・リソースの保護 を参照してください。 「続行」 をクリックします。

5. 許可されるエンドポイント・タイプを定義します。

   • すべてのエンドポイント・タイプを許可するには、トグルを 「いいえ」 に設定したままにします。
   • 特定のエンドポイント・タイプのみを許可するには、トグルを 「はい」 に設定し、リストから選択します。

6. 既に作成した 1 つ以上のネットワーク・ゾーンを選択するか、 「作成」 をクリックして新しいネットワーク・ゾーンを作成します。

   コンテキストは、リソースにアクセスできる場所を定義し、ネットワーク・ゾーンをルールに効果的にリンクします。

7. 追加をクリックして、設定を要約に追加する。 **「次へ」**をクリックします。

8. ルールに名前を付け、適用する方法を選択します。 次に、 作成 をクリックします。