Koncové body soukromých síťových služeb

Používejte koncové body privátních síťových služeb k bezpečnému připojení ke koncovým bodům prostřednictvím privátního cloudu IBM namísto připojení k prostředkům prostřednictvím veřejné sítě. V případě koncových bodů služeb privátní sítě již nejsou služby obsluhovány na adrese IP směrovatelné přes Internet, a jsou tedy bezpečnější. Koncové body služeb vyžadují, aby bylo na vašem účtu povoleno virtuální směrování a předávání (VRF). VRF je automaticky povoleno pro virtuální privátní cloudy (VPC).

Další informace o koncových bodech služeb viz:

• Zabezpečení připojení ke službám pomocí soukromých koncových bodů služeb
• Blog: Představení koncových bodů soukromých služeb v produktu IBM Cloud Databases
• IBM Cloud docs: Zabezpečený přístup ke službám pomocí koncových bodů služeb
• IBM Cloud dokumenty: Povolení VRF a koncových bodů služeb
• IBM Cloud dokumenty: Koncové body veřejné a soukromé sítě

Přístup k soukromým zdrojům dat

Soukromé zdroje dat jsou lokální zdroje dat, které jsou chráněny bránou firewall. Cloud Pak for Data as a Service vyžaduje přístup přes bránu firewall k dosažení zdrojů dat. Chcete-li poskytnout zabezpečený přístup, vytvořte pravidla příchozí brány firewall, která umožní přístup pro rozsahy adres IP pro produkt Cloud Pak for Data as a Service. Příchozí pravidla jsou vytvořena v konfiguračním nástroji pro vaši bránu firewall.

Viz Konfigurace přístupu přes bránu firewall

Integrace

Můžete konfigurovat integrace s cloudovými platformami třetích stran, abyste uživatelům produktu Cloud Pak for Data as a Service umožnili přístup ke zdrojům dat hostovaným na těchto cloudech. Následující mechanizmy zabezpečení se vztahují na integrace s cloudy třetích stran:

1. Autorizovaný účet v cloudu třetí strany s příslušnými oprávněními k zobrazení pověření účtu.
2. Oprávnění pro povolení zabezpečených připojení prostřednictvím brány firewall poskytovatele cloudu (pro specifické rozsahy IP)

Máte například zdroj dat v systému AWS , na kterém spouštíte zápisníky. Je třeba provést integraci s produktem AWS a poté vygenerovat připojení k databázi. Integrace a připojení jsou zabezpečené. Po konfiguraci přístupu přes bránu firewall můžete uživatelům udělit příslušná oprávnění a poskytnout jim pověření pro přístup k datům.

Viz Integrace s jinými cloudovými platformami

Připojení

Připojení vyžadují platná pověření pro přístup k datům. Vlastník účtu nebo administrátor konfiguruje typ pověření, která jsou povinná, sdílená nebo osobní, na úrovni účtu. Sdílená pověření zpřístupní zdroj dat a jeho pověření všem spolupracovníkům v projektu. Osobní pověření vyžadují, aby každý spolupracovník poskytoval vlastní pověření pro použití zdroje dat.

Připojení vyžadují platná pověření pro přístup k datům. Vlastník účtu nebo administrátor konfiguruje typ pověření, která jsou požadována na úrovni účtu. Tvůrce připojení zadá platné pověření. Možné volby jsou:

• Sdílené nebo osobní umožňuje uživatelům zadat osobní nebo sdílená pověření při vytváření nového připojení výběrem přepínače a zadáním správného pověření.
• Osobní pověření vyžadují, aby každý spolupracovník poskytoval svá vlastní pověření pro použití zdroje dat.
• Sdílená pověření zpřístupní zdroj dat a jeho pověření všem spolupracovníkům v projektu. Uživatelé zadávají společné pověření, které bylo vytvořeno tvůrcem připojení.

Další informace o připojeních viz:

• Přidání připojení k projektům
• Přidání dat z připojení k projektu
• Přidání připojení platformy
• Správa nastavení účtu

Připojení k datům za bránou firewall

Zabezpečená připojení poskytují zabezpečenou komunikaci mezi prostředky v implementaci hybridního cloudu, z nichž některé mohou být umístěny za bránou firewall. Pro zabezpečená připojení mezi vaším prostředím a cloudem máte následující možnosti:

• Satellite Konektor
• Satellite umístění

VPN

Virtuální privátní sítě (VPN) vytvářejí virtuální dvoubodová připojení pomocí protokolů tunelového propojení a šifrovacích a vyhrazených připojení. Poskytují zabezpečenou metodu sdílení dat ve veřejných sítích.

Níže jsou uvedeny technologie VPN na IBM Cloud:

• IPSec VPN: VPN usnadňuje konektivitu z vaší zabezpečené sítě do soukromé sítě platformy IBM IaaS . Přístup k síti VPN může být udělen libovolnému uživateli na účtu.

• VPN for VPC: Pomocí VPC (Virtual Private Cloud) můžete zajistit instance virtuálního serveru generace 2 pro VPC s vysokým výkonem sítě.

• Oznámení o zamítnutí služby Secure Gateway poskytuje informace a scénáře pro použití VPN jako alternativy. Viz IBM Cloud dokumenty: Volby migrace.

Povolit určité adresy IP

Pomocí tohoto mechanizmu můžete řídit přístup ke konzole cloudu IBM a k produktu Cloud Pak for Data as a Service. Přístup je povolen pouze z uvedených adres IP; přístup ze všech ostatních adres IP je odepřen. Můžete uvést povolené adresy IP pro jednotlivého uživatele nebo pro účet.

Při povolování specifických adres IP pro produkt Watson Studiomusíte zahrnout rozsahy CIDR pro uzly Watson Studio v každém regionu (stejně jako povolené individuální adresy IP systému klienta). Rozsahy CIDR můžete zahrnout do Cloud Pak for Data as a Service následujícím postupem:

1. V hlavní nabídce vyberte volbu Administrace > Integrace cloudu.
2. Chcete-li zobrazit adresy IP pro aktuální oblast, klepněte na volbu Konfigurace brány firewall . Použijte notaci CIDR.
3. Zkopírujte každý rozsah CIDR do omezení adresy IP pro uživatele nebo účet. Nezapomeňte také zadat povolené adresy IP jednotlivých klientů. Zadejte adresy IP jako seznam oddělený čárkami. Poté klepněte na tlačítko Použít.
4. Opakujte pro každou oblast, abyste povolili přístup pro produkt Watson Studio.

Podrobné pokyny pro omezení uživatelů i účtů viz IBM Cloud docs: Povolení specifických adres IP

Povolit adresy URL třetích stran v interní síti

Pokud spouštíte produkt Cloud Pak for Data as a Service za bránou firewall, musíte povolit seznam adres URL třetích stran pro poskytnutí odchozího přístupu k prohlížeči. Adresy URL zahrnují prostředky z produktu IBM Cloud a dalších domén. Cloud Pak for Data as a Service vyžaduje přístup k těmto doménám pro odchozí provoz prohlížeče přes bránu firewall.

Tento seznam poskytuje přístup pouze pro funkce jádra Cloud Pak for Data as a Service . Specifické služby mohou vyžadovat další adresy URL. Seznam nepokrývá adresy URL požadované konzolou IBM Cloud a jejími odchozími požadavky.

Víceklientská architektura

Cloud Pak for Data as a Service je hostován jako zabezpečené a vyhovující řešení pro více klientů na platformě IBM Cloud. Viz Více nájemců

Nadřízené téma: Zabezpečení