9.2. 使用安全组和密钥对保护实例访问

流程

1. 可选： 要确保您所需的安全组尚不存在，请查看可用的安全组及其规则：

   $ openstack security group list
   $ openstack security group rule list <sec_group>

   • 将 < sec_group > 替换为您从可用安全组列表中检索的安全组的名称或 ID。

2. 创建安全组：

   $ openstack security group create mySecGroup

3. 在您的安全组中添加规则：

   $ openstack security group rule create --protocol <protocol> \
   [--dst-port <port-range>] \
   [--remote-ip <ip-address> | --remote-group <group>] \
   [--ingress | --egress] mySecGroup

   • 将 &lt;protocol> 替换为您要允许与您的实例通信的协议名称。
   • 可选：将 <port-range > 替换为为协议打开的目标端口或端口范围。IP 协议 TCP、UDP 和 SCTP 是必需的。设置为 -1 以允许指定协议的所有端口。
   • 可选： 您可以使用 --remote-ip 指定远程 IP 地址块( or- -remote-group ) 来只允许从指定的 IP 地址访问，以指定该规则只适用于来自远程组的成员的接口的数据包。如果使用 --remote-ip，请将 & lt;ip-address > 替换为远程 IP 地址块。您可以使用 CIDR 表示法。如果使用 --remote-group，请将 替换为 现有安全组的名称或 ID。如果未指定选项，则允许访问所有地址，因为远程 IP 访问范围默认为 (IPv4 默认： 0.0.0.0/0 ；IPv6 默认： ::/0)。
   • 指定协议规则应用到的网络流量的方向，可以是传入(入口)或传出(egress)。如果没有指定，则默认为 ingress。

4. 重复步骤 3，直到您已经为要允许访问实例的所有协议创建了规则。以下示例创建了允许 SSH 连接到安全组 mySecGroup 中的实例的规则：

   $ openstack security group rule create --protocol tcp \
    --dst-port 22 mySecGroup

流程

1. 检索您要为其更新规则的安全组的名称或 ID：

   $ openstack security group list

2. 确定您需要应用到安全组的规则。

3. 在您的安全组中添加规则：

   $ openstack security group rule create --protocol <protocol> \
   [--dst-port <port-range>] \
   [--remote-ip <ip-address> | --remote-group <group>] \
   [--ingress | --egress] <group_name>

   • 将 &lt;protocol> 替换为您要允许与您的实例通信的协议名称。
   • 可选：将 <port-range > 替换为为协议打开的目标端口或端口范围。IP 协议 TCP、UDP 和 SCTP 是必需的。设置为 -1 以允许指定协议的所有端口。
   • 可选： 您可以使用 --remote-ip 指定远程 IP 地址块( or- -remote-group ) 来只允许从指定的 IP 地址访问，以指定该规则只适用于来自远程组的成员的接口的数据包。如果使用 --remote-ip，请将 & lt;ip-address > 替换为远程 IP 地址块。您可以使用 CIDR 表示法。如果使用 --remote-group，请将 替换为 现有安全组的名称或 ID。如果未指定选项，则允许访问所有地址，因为远程 IP 访问范围默认为 (IPv4 默认： 0.0.0.0/0 ；IPv6 默认： ::/0)。
   • 指定协议规则应用到的网络流量的方向，可以是传入(入口)或传出(egress)。如果没有指定，则默认为 ingress。
   • 使用您要将规则应用到的安全组的名称或 ID 替换 。

4. 重复步骤 3，直到您已经为要允许访问实例的所有协议创建了规则。以下示例创建了允许 SSH 连接到安全组 mySecGroup 中的实例的规则：

   $ openstack security group rule create --protocol tcp \
    --dst-port 22 mySecGroup

流程

1. 识别规则应用到的安全组：

   $ openstack security group list

2. 检索与安全组关联的规则 ID：

   $ openstack security group show <sec-group>

3. 删除规则或规则：

   $ openstack security group rule delete <rule> [<rule> ...]

   将 <rule > 替换为要删除的规则的 ID。您可以通过指定一个以空格分隔的规则 ID 列表来删除多个规则。

流程

1. 确定您要将安全组应用到的实例上的端口：

   $ openstack port list --server myInstancewithSSH

2. 将安全组应用到端口：

   $ openstack port set --security-group <sec_group> <port>

   将 &lt ;sec_group > 替换为您要应用到正在运行的实例端口的安全组的名称或 ID。您可以根据需要多次使用 --security-group 选项应用多个安全组。

流程

1. 列出与端口关联的所有安全组，并记录您要与端口关联的安全组 ID：

   $ openstack port show <port>

2. 删除与端口关联的所有安全组：

   $ openstack port set --no-security-group <port>

3. 将安全组重新应用到端口：

   $ openstack port set --security-group <sec_group> <port>

   将 < sec_group > 替换为您要重新应用到运行的实例的安全组的 ID。您可以根据需要多次使用 --security-group 选项应用多个安全组。

流程

1. 检索您要删除的安全组的名称或 ID：

   $ openstack security group list

2. 检索可用端口的列表：

   $ openstack port list

3. 检查每个端口是否有关联的安全组：

   $ openstack port show <port-uuid> -c security_group_ids

   如果您要删除的安全组与任何端口关联，您必须首先从端口中删除该安全组。如需更多信息 ，请参阅从端口中删除安全组。

4. 删除安全组：

   $ openstack security group delete <group> [<group> ...]

   使用您要删除的组的 ID 替换 。您可以通过指定一个以空格分隔的组的 ID 列表来删除多个组。

流程

1. 创建密钥对，并将私钥保存在您的本地 .ssh 目录中：

   $ openstack keypair create <keypair> > ~/.ssh/<keypair>.pem

   将 <keypair > 替换为新密钥对的名称。

2. 保护私钥：

   $ chmod 600 ~/.ssh/<keypair>.pem

流程

1. 从现有密钥文件创建密钥对，并将私钥保存在本地 .ssh 目录中：

   • 要从现有公钥文件导入密钥对，请输入以下命令：

     $ openstack keypair create --public-key ~/.ssh/<public_key>.pub \
      <keypair> > ~/.ssh/<keypair>.pem

     • 将 < public_key > 替换为您要用来创建密钥对的公钥文件的名称。
     • 将 <keypair > 替换为新密钥对的名称。

   • 要从现有私钥文件导入密钥对，请输入以下命令：

     $ openstack keypair create --private-key ~/.ssh/<private_key> \
      <keypair> > ~/.ssh/<keypair>.pem

     • 将 < private_key > 替换为您要用来创建密钥对的公钥文件的名称。
     • 将 <keypair > 替换为新密钥对的名称。

2. 保护私钥：

   $ chmod 600 ~/.ssh/<keypair>.pem