使用 API 创建网络区域

您可以使用 create-zone 命令来创建网络区域。 有关更多信息，请参阅 API 文档。

VPC 基础设施服务的 serviceRef 属性是 is，Cloud Block Storage 是 server-protect, File Storage for VPC 是 is.share。

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "is"
      }
    }
  ]
}

{
  "name": "Example zone 1",
  "description": "",
  "addresses": [
    {
      "type": "serviceRef",
      "ref": {
        "service_name": "server-protect"
      }
    }
  ]
}

使用 CLI 创建网络区域

1. 要通过 CLI 创建网络区域， 安装 CBR CLI 插件。

2. 使用 cbr-zone-create 命令将网络位置，VPC 和服务引用添加到网络区域。 有关更多信息，请参阅 CBR CLI 参考。

   要查找可用服务引用目标的列表，请运行 ibmcloud cbr service-ref-targets 命令。 该 service_name VPC 基础设施服务的网址是、isCloud Block Storage 是 server-protect，以及 File Storage for VPC 是 is.share。

   下面的示例命令将添加 is 服务，即 VPC 基础架构服务 IBM Cloud® 控制台的网络区域。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=is
   

   下面的示例命令添加了 server-protect 服务，称为 Cloud Block Storage IBM Cloud® 的服务添加到网络区域。

   ibmcloud cbr zone-create --name example-zone-1 --description "Example zone 1" --service-ref service_name=server-protect
   

从控制台创建网络区域

1. 确定要添加到允许列表的资源。
2. 检查 服务引用 部分，以了解是否需要将任何服务引用添加到网络区域。
3. 执行以下步骤以 在控制台中创建基于上下文的限制。

使用 API 创建规则

查看以下示例请求以创建规则。 有关 v1/rules 的更多信息 API，请参阅 API 文档。

创建规则后，可能需要最多 10 分钟才能更新该规则。

以下示例有效内容创建用于保护虚拟服务器实例的规则，并且仅允许通过专用端点从指定网络区域进行访问。

{
  "contexts": [
    {
      "attributes": [
        {
          "name": "endpointType",
          "value": "private"
        },
        {
          "name": "networkZoneId",
          "value": "45ec64065b7c2bf84b3edec803335111"
        }
      ]
    }
  ],
  "resources": [
    {
      "attributes": [
        {
          "name": "resourceGroupId",
          "value": "1171749e3a8545069d04e6fca1ded18f"
        },
        {
          "name": "serviceName",
          "value": "is"
        },
        {
          "name": "instanceId",
          "value": "*"
        }
      ]
    }
  ]
}

使用 CLI 创建规则

1. 要从 CLI 创建规则，请 安装 CBR CLI 插件。
2. 使用 ibmcloud cbr rule-create 命令 来创建 CBR 规则。 有关更多信息，请参阅 CBR CLI 参考。

本节中的示例是实施规则。 您可以通过添加 --enforcement-mode report 使其仅报告。

以下示例 CLI 命令为当前帐户中的所有虚拟服务器实例创建基于上下文的限制规则:

ibmcloud cbr rule-create  --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下示例 CLI 命令为当前帐户中的特定块存储卷创建基于上下文的限制规则:

ibmcloud cbr rule-create --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for volume" --service-name is --resource-attributes "volumeId=UUID_OF_THE_VOLUME"

以下示例 CLI 命令为当前帐户中的所有虚拟服务器实例创建基于上下文的限制规则，并限制对专用端点的访问:

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*"

以下示例 CLI 命令为资源组中的所有虚拟服务器实例创建基于上下文的限制规则，并限制对专用端点的访问:

ibmcloud cbr rule-create --context-attributes 'endpointType=private' --zone-id a7eeb5dd8e6bdce670eba1afce18e37f --description "Test CBR for VSIs" --service-name is --resource-attributes "instanceId=*" --resource-group-id 1171749e3a8545069d04e6fca1ded18f

在控制台中创建规则

1. 转至 IBM Cloud® 控制台中的 管理 > 基于上下文的限制。

2. 选择规则并单击创建。

3. 选择 VPC 基础架构服务，然后单击 下一步。

4. 将规则的作用域限定为 所有资源 或 特定资源。 有关更多信息，请参阅 保护 VPC 基础架构服务资源。 单击继续。

5. 定义允许的端点类型。

   • 保持切换设置为 No 以允许所有端点类型。
   • 将切换设置为 Yes 以仅允许特定端点类型，然后从列表中进行选择。

6. 选择已创建的一个或多个网络区域，或者通过单击 创建来创建新的网络区域。

   上下文定义可从中访问资源的位置，从而有效地将网络区域链接到规则。

7. 单击“添加 ”将您的配置添加到摘要中。 单击下一步。

8. 命名规则并选择要如何实施该规则。 然后点击创建。