More than 1 year has passed since last update.

Cloud Pak for Data as a Service へログイン可能なIPアドレスを制御する

Last updated at 2022-07-07Posted at 2022-07-07

本記事の目的

本記事では、IBM Cloud上で提供される Cloud Pak for Data as a Service (以降、CP4DaaSと表記) を対象に、CP4DaaSへログイン可能なIPアドレスを制限する方法を紹介します。

IPアドレス制限の実現方法

CP4DaaSへログイン可能なIPアドレスを制限するために、IBM Cloudのプラットフォームが提供するIPアドレス制限の機能を使用します。
例えば、企業でCP4DaaSを使用する場合、企業がインターネットに接続する際に使用するグローバルIPアドレス範囲のみ許可リストに設定するといった用途です。CP4DaaSへログイン可能な環境を制御することで利用時の安全性が高まります。

製品資料：特定の IP アドレスの許可
- https://cloud.ibm.com/docs/account?topic=account-ips&interface=ui

IBM CloudのIPアドレス制限は、2つのレベルで設定可能です。

ユーザー・レベル：特定のユーザーに対して設定
アカウント・レベル：IBM Cloudアカウント全体に対して設定。

CP4DaaSでIPアドレス制限を利用する場合の注意点

IPアドレス制限で許可リストを設定する際、ユーザーがログインに使用するIPアドレス範囲に加えて、CP4DaaSが製品として使用するIPアドレス範囲の許可が必要です。
製品資料のネットワーク・セキュリティのページに記載があります。

製品資料：Network security より Allow specific IP addresses 参照
- https://dataplatform.cloud.ibm.com/docs/content/wsj/getting-started/security-network.html?locale=en&audience=wdp#allow-specific-ip-addresses

＜該当箇所の抜粋＞
When allowing specific IP addresses for Watson Studio, you must include the CIDR ranges for the Watson Studio nodes in each region (as well as the individual client system IPs that are allowed).

アカウント・レベルでのIPアドレス制限の設定例

アカウント・レベルで設定する場合の設定例を示します。

1. CP4DaaSへのログインに使用するIPアドレス範囲の確認

ユーザーがCP4DaaSへのログインに使用するIPアドレス範囲を確認します。
- 自分が現在のインターネット接続で使用しているIPアドレスは、こちらのWebサイト等(https://www.cman.jp/network/support/go_access.cgi) で確認可能です。ただし、IPアドレスは一定の範囲内で変わる場合があるため、予め、ネットワークの管理者等に取りうるIPアドレス範囲を確認することをおすすめします。

2. CP4DaaS製品が使用するIPアドレス範囲の確認

CP4DaaSへログインし、ナビゲーションメニューより「管理」＞「クラウド統合」と進みます。
「クラウド統合」ページの右上より「ファイアウォール構成」をクリックします。
「クラウド・ファイアウォールの構成」ウィンドウが表示されます。2つのチェックボックスを☑します。
すべてのIPアドレス範囲を控えます。

3. IPアドレス制限の設定

IBM Cloudへログインし、「管理」＞「アクセス(IAM)」と進みます。
「設定」ページへ進み、画面を下にスクロールして「アカウントの制限」のセクションへ進みます。
「IPアドレスのアクセス」で、無効となっているボタンを有効化します。

IPアドレスの許可リスト（設定箇所の名称は「許可されたIPアドレス」）で、ログインに使用するIPアドレスの登録に誤りがあると、IBM Cloudアカウントへログインできなくなってしまいます。
念のため、設定を試される際には、ご自身が現在のログインに使用しているIPアドレスも、許可リストへ追加することをおすすめします。

開いたウィンドウの「許可されたIPアドレス」へ、前の手順で確認しておいた「ユーザーがCP4DaaSへのログインに使用するIPアドレス（範囲）」と、「CP4DaaS製品が使用するIPアドレス範囲」を入力し、保存します。
- この時、ヒントとして自身が現在ログインに使用しているIPアドレスが表示されるため、許可リスト登録時の参考にしてください。
設定が保存され、IPアドレス制限が有効化されました。

4. 挙動の確認

IBM Cloud WebコンソールとCP4DaaSについて、ログイン時の挙動を確認します。

許可済みIPアドレスからのログイン時（ログインに成功）
- IBM Cloud Webコンソール
  https://cloud.ibm.com/
- CP4DaaS
  https://dataplatform.cloud.ibm.com/
無許可のIPアドレスからのログイン続時（ログインに失敗）
- IBM Cloud Webコンソール
  https://cloud.ibm.com/
- CP4DaaS
  https://dataplatform.cloud.ibm.com/

期待通り、CP4DaaSへログイン可能なIPアドレスを制限することができました。