RDS príobháideach ó EC2: an VPC céanna, peering nó rud éigin eile?

Sroicheann ríomhaire glúine an fhorbróra an t-ionstáirse RDS príobháideach trí VPN na foirne, ach ní féidir leis an bhfeidhmchlár ar EC2 ceangal ar chor ar bith. Ní imscaradh briste é sin. Tá tollán ag an ríomhaire glúine nach n-oidhreoidh an t-ionstáirse EC2 riamh, agus ciallaíonn «príobháideach» in RDS nach bhfuil aon chríochphointe poiblí ag an mbunachar sonraí, ní hé go bhfuil úsáideoirí daonna VPN ar na haon ghlaoiteoirí a bhfuil cead acu. Teastaíonn a bhealach údaraithe féin, a chaidreamh féin leis an ngrúpa slándála agus a chéannacht bunachair sonraí féin ón bhfeidhmchlár, agus sábhálann an t-ord ina roghnaíonn tú na trí rud sin an chuid is mó den dífhabhtú. Socraigh an bealach ar dtús, ansin na ceadanna, agus ansin fíoraigh ón timpeallacht imscartha seachas ó do dheasc.

Ní hé VPN an ríomhaire glúine bealach an fheidhmchláir

Cibé rud a dhéanann VPN na foirne do dhaoine, ní dhéanann sé aon rud d'ionstáirse mura bhfuil an t-ionstáirse sin go sainráite mar chuid den bhealach líonra céanna. Sroicheann ionstáirse EC2 i bhfo-líonra príobháideach RDS trí ródú VPC, grúpaí slándála agus ACLanna líonra. Ní oidhreoidh sé tollán duine, seisiún duine ná dintiúir duine, agus níor cheart dó: caithfidh nascacht feidhmchlár gan mhaoirseacht agus rochtain chian na foirne a bheith inoibrithe go neamhspleách.

Is gné í an neamhspleáchas sin. Nuair a bhíonn an VPN síos, leanann an feidhmchlár ag obair. Nuair a iompraíonn an feidhmchlár go dona, ní chailleann aon duine a rochtain chian. Is gnách go n-aimsítear dearaí a chumascann an dá rud in aon bhealach amháin le linn teagmhais, ag an nóiméad is measa is féidir.

Cinneadh 1: an VPC céanna, bealach díreach

Nuair a bhíonn an feidhmchlár agus an bunachar sonraí sa VPC céanna le ródú díreach agus gan aon mheánbhosca cigireachta eatarthu, tá an bealach simplí agus is é an tagairt ghrúpa slándála an uirlis is láidre atá ar fáil. Tabhair a ghrúpa féin don fheidhmchlár, ansin ceadaigh port an bhunachair sonraí ón ngrúpa sin seachas ó raon seoltaí:

aws ec2 authorize-security-group-ingress --group-id sg-0db123   --protocol tcp --port 5432 --source-group sg-0app456

aws rds describe-db-instances --db-instance-identifier prod-db   --query 'DBInstances[0].{Endpoint:Endpoint.Address,Port:Endpoint.Port,Public:PubliclyAccessible,Groups:VpcSecurityGroups}'

Tá an port léiritheach agus caithfidh sé teacht leis an inneall. Údaraíonn tagairt ghrúpa trácht ó ionstáirsí an fheidhmchláir; ní chóipeálann sé a rialacha agus ní chruthaíonn sé logáil isteach bunachair sonraí. Dhá fhadhb ar leith, dhá réiteach ar leith.

Ansin seiceáil an chuid eile den bhealach seachas stopadh ag an riail a chuir tú leis anois. Caithfidh beartas amach an fheidhmchláir, an tsraith iomlán de ghrúpaí atá ceangailte leis an mbunachar sonraí, táblaí ródaithe an fho-líonra agus aon ACLanna líonra teacht le chéile. Tá rialacha grúpa slándála stáitithe, agus caithfidh ACL líonra saincheaptha an t-iarratas agus an trácht fillte a cheadú i rialacha ar leith, lena n-áirítear poirt eofemearacha. Ní chealaíonn riail chúng nua bunachair sonraí cead leathan níos sine a bhí ceangailte cheana féin ach an oiread.

Cinneadh 2: VPC eile nó cuntas eile

Má tá an feidhmchlár i VPC eile, roghnaíonn úinéirí an líonra idirnasc príobháideach tacaíochta: peering, dearadh idirthurais nó socrú VPC roinnte. Ansin caithfidh an dá threo ródaithe a bheith ann, caithfidh réiteach ainmneacha oibriú don chríochphointe RDS, agus caithfidh an fhoinse a mheasann beartas an bhunachair sonraí a bheith ag teacht leis an méid a shroicheann iarbhír. Ní thugann ainmneacha cuntais mheaitseála ná caidreamh billeála roinnte aon rud díobh sin.

Is é an tagairt ghrúpa slándála an chuid a athraíonn. Oibríonn sé i roinnt dearadh idirnaisc phríobháidigh, ach stopann sé ag obair an nóiméad a athscríobhann meánbhosca an fhoinse nó a chríochnaíonn sé an nasc, mar sin feiceann an bunachar sonraí an meánbhosca seachas do ghrúpa feidhmchláir. Scarann cásanna VPC RDS rochtain laistigh den VPC céanna ó na socruithe eile, agus is fiú do thopolaíocht shonrach a sheiceáil ina gcoinne sula ngabhann tú leis go n-aistrítear stíl rialach.

Ná réitigh bealach atá ar iarraidh tríd an mbunachar sonraí a dhéanamh inrochtana go poiblí. Is cinneadh nochta éagsúil é sin le húinéir éagsúil, agus is gnách gurb é an duine is faide ón iarmhairt a mholann é.

Cinneadh 3: cén chéannacht a nglacann an bunachar sonraí leis

Is sraitheanna ar leith iad rochtain líonra agus fíordheimhniú bunachair sonraí, agus cruthaíonn a gcumasc na hearráidí is míthreoraí. Is céannacht AWS é ról an ionstáirse chun APIanna AWS a ghlaoch. Ní úsáideoir bunachair sonraí é. Is gné thacaíochta é fíordheimhniú bunachair sonraí IAM nuair a cheadaíonn an t-inneall agus an chumraíocht é, agus is mapáil chuig úsáideoir bunachair sonraí fós é seachas ionadú.

Úsáid ainm an chríochphointe RDS i gcumraíocht an fheidhmchláir seachas seoladh a gabhadh ó chuardach amháin. Athraíonn aistriú Multi-AZ an seoladh taobh thiar den ainm sin, agus teipfidh ar fheidhmchlár atá pinnithe le IP go díreach ag an nóiméad a dteastaíonn sé. Coinnigh fíorú TLS an innill cumasaithe seachas é a dhíchumasú chun earráid a chur ar ceal, mar insíonn teip fíoraithe rud éigin duit faoin gcríochphointe a shroich tú.

Ansin tabhair don chuntas bunachair sonraí an t-íosmhéid a theastaíonn ón bhfeidhmchlár, sa scéim a úsáideann sé i ndáiríre. Tá an obair sin leadránach, tá sí ininiúchta, agus is í an chuid a chuirfidh athbhreithniú teagmhais ceist uirthi.

Fíoraigh ón timpeallacht imscartha

Tástáil ón ionstáirse nó ó thasc atá ag rith leis an ngrúpa, fo-líonra agus ról céanna. Breathnaíonn ceithre theip mar an gcéanna ó ríomhaire glúine agus is furasta iad a idirdhealú ó shin: ainm nach réitítear, nasc a théann in éag, teip bhailíochta TLS agus logáil isteach bunachair sonraí a diúltaíodh. Cuireann gach ceann díobh in iúl teorainn éagsúil, agus is tomhas é nochadh an bhunachair sonraí a athrú sula bhfuil a fhios agat cé acu atá agat.

psql "host=prod-db.abc123.eu-west-1.rds.amazonaws.com port=5432 dbname=app sslmode=verify-full" -c 'select 1'

Má éiríonn leis an nasc ón ionstáirse agus má theipeann sé ó do dheasc, tá bealach an fheidhmchláir ceart agus is é do rochtain féin an rud atá le socrú. Má theipeann sé ón dá áit, tosaigh leis na seiceálacha grúpa agus bealaigh thuas seachas leis na dintiúir. Cuireann an t-aon chomparáid sin cosc ar an gcuid is mó den chorraíl a chruthaíonn na ticéid seo.