Connexion aux données derrière un pare-feu | IBM Cloud Pak for Data as a Service

Retourner à la version anglaise de la documentation

Connexion aux données derrière un pare-feu

Pour vous connecter à une base de données qui n'est pas accessible via Internet (par exemple, derrière un pare-feu), vous devez configurer un chemin de communication sécurisé entre votre source de données sur site et IBM Cloud. Utilisez un connecteur Satellite , un emplacement Satellite ou une instance Secure Gateway pour le chemin de communication sécurisé.

Configurez un connecteur Satellite: le connecteur Satellite remplace Secure Gateway. Le connecteur Satellite utilise une communication Dockerlégère qui crée des communications sécurisées et auditables depuis votre environnement sur site, cloud ou Edge vers IBM Cloud. Votre infrastructure n'a besoin que d'un hôte de conteneur, tel que Docker. Pour plus d'informations, voir Satellite Connector overview.
Configurez un emplacement Satellite: un emplacement Satellite fournit les mêmes communications sécurisées à IBM Cloud qu'un connecteur Satellite , mais ajoute un accès à haute disponibilité par défaut et la possibilité de communiquer depuis IBM Cloud vers votre emplacement sur site. Il prend en charge les services de cloud gérés sur site, tels que Managed OpenShift et Managed Databases, pris en charge à distance par les ressources SRE IBM Cloud PaaS . Un emplacement Satellite requiert au moins trois hôtes x86 dans votre infrastructure pour le plan de contrôle à haute disponibilité. Un emplacement Satellite est un sur-ensemble des fonctionnalités du connecteur Satellite . Si vous n'avez besoin que de la communication des données client, configurez un connecteur Satellite .
Configurez une Secure Gateway: Secure Gateway est l'ancienne solution d' IBM Cloudpour la communication entre les environnements de cloud sur site ou tiers. Secure Gateway est désormais déprécié par IBM Cloud. Pour une nouvelle connexion, configurez un connecteur Satellite à la place.

Configuration d'un connecteur Satellite

Pour configurer un connecteur Satellite , créez le connecteur dans votre compte IBM Cloud . Ensuite, vous configurez des agents pour qu'ils s'exécutent dans votre plateforme hôte Docker locale sur site. Enfin, vous créez les noeuds finaux pour votre source de données que Cloud Pak for Data as a Service utilise pour accéder à la source de données à partir d' IBM Cloud.

Configuration requise pour un connecteur Satellite

Autorisations requises: Vous devez disposer d'un accès administrateur au service Satellite dans les règles d'accès IAM pour effectuer les étapes dans IBM Cloud.
Systèmes hôte requis: Au moins un hôte x86 Docker dans votre propre infrastructure pour exécuter le conteneur de connecteur. Voir Configuration minimale requise.

Configuration d'un connecteur Satellite

Remarque: toutes les connexions ne prennent pas en charge Satellite. Si la connexion prend en charge Satellite, la vignette IBM Cloud Satellite sera disponible dans la section Connectivité privée du formulaire Créer une connexion . Vous pouvez également filtrer toutes les connexions qui prennent en charge Satellite dans la page Nouvelle connexion .

Ces étapes ajoutent automatiquement les noeuds finaux utilisateur du connecteur Satellite qui correspondent à la connexion que vous créez dans Cloud Pak for Data as a Service.

Accédez à la page Créer un connecteur dans IBM Cloud à partir de l'un des emplacements suivants:
- Connectez-vous à la page Connectors dans IBM Cloud.
- Dans Cloud Pak for Data as a Service:
  1. Accédez à la page du projet. Cliquez sur l'onglet Actifs.
  2. Cliquez sur Nouvel actif > Connexion.
  3. Sélectionnez le connecteur Cloud Pak for Data as a Service .
  4. Dans la page Créer une connexion , accédez à la section Connectivité privée et cliquez sur la vignette IBM Cloud Satellite .
  5. Cliquez sur Configurer Satellite , puis connectez-vous à IBM Cloud.
  6. Cliquez sur Créer un connecteur.
Suivez les étapes de la rubrique Création d'un connecteur.
Configurez les conteneurs d'agent de connecteur dans votre environnement hôte Docker local. Pour la haute disponibilité, utilisez trois agents par connecteur qui sont déployés sur des hôtes Docker distincts. Il est préférable d'utiliser une infrastructure et une connectivité réseau distinctes pour chaque agent. Suivez les étapes de la rubrique Exécution d'un agent de connecteur.
Les agents apparaissent dans la liste Agents actifs pour le connecteur.
Dans Cloud Pak for Data as a Service, revenez à la page Créer une connexion . Dans la section Connectivité privée , cliquez sur Recharger, puis sélectionnez le connecteur Satellite que vous avez créé.
Cliquez sur Tester la connexion pour vérifier que vous pouvez vous connecter à partir de Cloud Pak for Data as a Service à la source de données à l'aide du connecteur Satellite .
Sauvegardez la connexion. Un noeud final de connecteur Satellite correspondant à la connexion est automatiquement créé.

Dans le tableau de bord des connecteursSatellite d' IBM Cloud, pour chaque connexion que vous créez, un noeud final utilisateur est ajouté dans le connecteur Satellite . Le nom du noeud final d'utilisateur qui est automatiquement ajouté ressemblera à ep-<XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX>. Pour voir quel noeud final correspond à la connexion que vous avez créée dans Cloud Pak for Data as a Service, vérifiez les valeurs de nom de domaine complet de destination ou d'adresse IP et de port de destination dans les détails du noeud final.

Configuration d'un emplacement Satellite

Utilisez la fonction d'emplacement Satellite d' IBM Cloud Satellite pour vous connecter en toute sécurité à un emplacement Satellite que vous configurez pour votre compte IBM Cloud .

Conditions requises pour un emplacement Satellite

Autorisations requises: Vous devez être l'administrateur du compte IBM Cloud pour effectuer les tâches dans IBM Cloud.
Systèmes hôte requis: Vous avez besoin d'au moins trois ordinateurs ou machines virtuelles dans votre propre infrastructure pour agir en tant qu'hôtes Satellite . Confirmez la configuration requise pour le système hôte. (Les instructions de la documentation IBM Cloud pour des fonctions supplémentaires telles que les clusters Red Hat OpenShift et Kubernetes ne sont pas requises pour une connexion dans Cloud Pak for Data as a Service.)

Configuration d'un emplacement Satellite

Configurez l'emplacement Satellite dans IBM Cloud.

Tâche 1: Créer un emplacement Satellite
Tâche 2: Associer les hôtes à l'emplacement Satellite
Tâche 3: Affecter les hôtes au plan de contrôle
Tâche 4: Créer la connexion sécurisée avec un emplacement Satellite
Gestion de l'emplacement Satellite

Tâche 1: Créer un emplacement Satellite

Un emplacement Satellite est une représentation d'un environnement dans votre fournisseur d'infrastructure, tel qu'un centre de données ou un cloud sur site. Pour vous connecter à des sources de données dans Cloud Pak for Data as a Service, vous avez besoin de trois ordinateurs ou machines virtuelles. Pour créer l'emplacement Satellite :

Accédez à la page de configuration Créer un emplacement Satellite dans IBM Cloud à partir de l'un des emplacements suivants:
- Connectez-vous à IBM Cloudet sélectionnez Créer un emplacement.
- Dans Cloud Pak for Data as a Service:
  1. Accédez à la page du projet. Cliquez sur l'onglet Actifs.
  2. Cliquez sur Nouvel actif > Connexion.
  3. Sélectionnez le connecteur.
  4. Dans la page Créer une connexion , accédez à la section Connectivité privée et cliquez sur la vignette IBM Cloud Satellite .
  5. Cliquez sur Configurer Satellite , puis connectez-vous à IBM Cloud.
  6. Cliquez sur Créer un emplacement.
    
    Ces instructions suivent le modèle Sur site & Edge . En fonction de votre infrastructure, vous pouvez sélectionner un autre modèle. Reportez-vous aux instructions du modèle et aux informations de la rubrique Understanding Satellite location and hosts dans la documentation IBM Cloud .
Cliquez sur Editer pour modifier les informations d'emplacement Satellite :
- Nom: Vous pouvez utiliser cette zone pour différencier les différents réseaux tels que my US East network ou mon Japan network.
- Les zones Etiquettes et Description sont facultatives.
- Géré à partir de: sélectionnez la région IBM Cloud la plus proche de l'emplacement physique de vos machines hôte.
- Groupe de ressources: est défini sur default par défaut.
- Zones: IBM répartit automatiquement les instances de plan de contrôle sur trois zones dans la même métropole multizone IBM Cloud . Par exemple, si vous gérez votre emplacement depuis la métropole wdc dans la région Est des Etats-Unis, vos instances de plan de contrôle d'emplacement Satellite sont réparties dans les zones us-east-1, us-east-2et us-east-3 . Cette répartition par zone garantit que votre plan de contrôle est disponible, même si une zone devient indisponible.
- Red Hat CoreOS: ne sélectionnez pas cette option. Laissez-la désélectionnée ou en tant que Non.
- Stockage d'objets: cliquez sur Editer pour entrer le nom exact d'un compartiment IBM Cloud Object Storage existant que vous souhaitez utiliser pour sauvegarder les données du plan de contrôle d'emplacement Satellite . Sinon, un nouveau compartiment est automatiquement créé dans une instance Object Storage de votre compte.
Passez en revue les détails de votre commande, puis cliquez sur Créer un emplacement.

Un plan de contrôle d'emplacement est déployé dans l'une des zones situées dans la région IBM Cloud que vous avez sélectionnée. Le plan de contrôle est prêt à vous permettre de lui connecter des hôtes.

Tâche 2: Connecter les hôtes à l'emplacement Satellite

Connectez trois hôtes conformes aux exigences de l'hôte à l'emplacement Satellite .

Remarques importantes pour les hôtes d'emplacement Satellite

Les hôtes Satellite sont des serveurs dédiés et ne peuvent pas être partagés avec d'autres applications. Vous ne pouvez pas vous connecter à un hôte avec SSH. Le mot de passe root sera modifié.
Vous n'avez besoin que de trois hôtes pour les connexions Cloud Pak for Data as a Service .
Les noeuds worker ne sont pas requis. Seuls les hôtes de plan de contrôle sont nécessaires pour les connexions Cloud Pak for Data as a Service .
Red Hat OpenShift Container Platform (OCP) n'est pas nécessaire pour les connexions Cloud Pak for Data as a Service .
Le conteneur Linux CoreOS Linux n'est pas nécessaire pour les connexions Cloud Pak for Data as a Service .
Les hôtes se connectent à IBM Cloud avec le protocole TLS 1.3 .

Pour connecter les hôtes à l'emplacement Satellite :

Dans le tableau de bordSatellite Emplacements, cliquez sur le nom de votre emplacement.
Cliquez sur Associer des hôtes pour générer et télécharger un script.
Exécutez le script sur tous les hôtes à associer à l'emplacement Satellite .
Sauvegardez le script d'association au cas où vous attacheriez plus d'hôtes à l'emplacement dans le futur. Le jeton dans le script d'association est une clé d'API qui doit être traitée et protégée en tant qu'informations sensibles. Voir Gestion de l'emplacement Satellite.

Tâche 3: Affecter les hôtes au plan de contrôle

Pour affecter les hôtes:

Dans le tableau de bordSatellite Emplacements, cliquez sur le nom de votre emplacement.
Pour chaque hôte, cliquez sur le menu déroulant dynamique (), puis sélectionnez Affecter. Affectez un hôte à chaque zone.

Tâche 4: Créer la connexion sécurisée avec un emplacement Satellite

Pour créer la connexion sécurisée:

Dans Cloud Pak for Data as a Service, accédez à la page du projet. Cliquez sur l'onglet Actifs.
Cliquez sur Nouvel actif > Connexion.
Sélectionnez le connecteur.
Dans le formulaire Créer une connexion , indiquez les détails de la connexion. Le nom d'hôte ou l'adresse IP et le port de la source de données doivent être disponibles à partir de chaque hôte connecté à l'emplacement Satellite .
Cliquez sur Recharger, puis sélectionnez l'emplacement Satellite que vous avez créé.

Dans le tableau de bord Satellite Locations d' IBM Cloud, pour chaque connexion que vous créez, un noeud final de lien est créé avec Type de destination Locationet Créé par Connectivity dans l'emplacement Satellite . Le nom du noeud final d'utilisateur qui est automatiquement ajouté ressemblera à ep-<XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX>. Pour voir quel noeud final correspond à la connexion que vous avez créée dans Cloud Pak for Data as a Service, vérifiez les valeurs de nom de domaine complet de destination ou d'adresse IP et de port de destination dans les détails du noeud final.

Gestion de l'emplacement Satellite

Le script de connexion hôte expire un an après la date de création. Pour vous assurer que les hôtes ne rencontrent pas de problèmes d'authentification, téléchargez une nouvelle copie du script de connexion d'hôte au moins une fois par an.
Sauvegardez le script d'association au cas où vous attacheriez plus d'hôtes à l'emplacement dans le futur. Si vous générez un nouveau script de connexion d'hôte, il dissocie tous les hôtes existants.
Les hôtes peuvent être récupérés en les déconnectant de l'emplacement Satellite et en rechargeant le système d'exploitation dans le fournisseur d'infrastructure.

Configurer une passerelle sécurisée

Le service IBM Cloud Secure Gateway fournit un client distant pour créer une connexion sécurisée à une base de données non externalisée sur Internet. Vous pouvez mettre à disposition un service Secure Gateway dans une région de service et l'utiliser dans des instances de service que vous avez mises à disposition dans d'autres régions. Après avoir créé une instance du service Secure Gateway, vous ajoutez une passerelle sécurisée.

Important: Secure Gateway est obsolète dans IBM Cloud. Pour plus d'informations, voir Secure Gateway -Présentation et chronologie de l'obsolescence.

Remarque: les connexions ne prennent pas toutes en charge Secure Gateway. Si la connexion prend en charge Secure Gateway, la vignette IBM Cloud Secure Gateway sera disponible dans la section Connectivité privée du formulaire Créer une connexion . Vous pouvez également filtrer toutes les connexions qui prennent en charge Secure Gateway dans la page Nouvelle connexion .

Pour configurer une passerelle sécurisée :

Configurez une passerelle sécurisée à partir de l'écran Créer une connexion :
1. Cliquez sur la vignette IBM Cloud Secure Gateway .
2. Cliquez sur Créer une nouvelle instance de Secure Gateway.
  
  Vous pouvez également, à partir du menu principal dans Cloud Pak for Data as a Service, choisir Services > Catalogue des services , puis sélectionner Secure Gateway.
Sélectionnez une région et un plan de tarification.
Sous Configurer votre ressource, entrez un nom de service et des balises facultatives.
Cliquez sur Créer.
Sur la page Instances de services, recherchez le service passerelle sécurisée et cliquez sur son nom.
Suivez les instructions pour ajouter une passerelle Ajout d'une passerelle. Pour maintenir la sécurité de la connexion, veillez à configurer la Secure Gateway pour qu'elle nécessite un jeton de sécurité. Assurez-vous de copier votre ID de passerelle et votre jeton de sécurité.
Depuis votre nouvelle passerelle, dans l'onglet Clients , cliquez sur Connect Client pour ouvrir le panneau Connect Client .
Sélectionnez le téléchargement de client correspondant à votre système d'exploitation.
Suivez les instructions d' installation du client.
Selon le protocole d'authentification de ressource que vous spécifiez, vous devrez peut-être transférer un certificat. Une destination est créée au premier établissement de la connexion.
Dans Cloud Pak for Data as a Service, accédez à la page du projet. Cliquez sur l'onglet Actifs. Dans la section Connectivité privée, cliquez sur Recharger, puis sélectionnez la passerelle sécurisée que vous avez créée.

En savoir plus

Rubrique parent : Ajout de données à un projet