设置安全组规则

操作场景

安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互 信任的弹性云服务器和GaussDB(for MySQL)数据库实例提供访问策略。为了保障数据 库的安全性和稳定性，在使用GaussDB(for MySQL)数据库实例之前，您需要设置安全 组，开通需访问数据库的IP地址和端口。

内网连接GaussDB(for MySQL)实例时，设置安全组分为以下两种情况：

● ECS与GaussDB(for MySQL)实例在相同安全组时，默认ECS与GaussDB(for MySQL)实例互通，无需设置安全组规则，执行通过内网连接GaussDB(for MySQL)实例。

快速入门 2 连接实例

须知

ECS和GaussDB(for MySQL)实例必须处于同一VPC。

● ECS与GaussDB(for MySQL)实例在不同安全组时，需要为GaussDB(for MySQL) 和ECS分别设置安全组规则。

– 设置GaussDB(for MySQL)安全组规则：为GaussDB(for MySQL)所在安全组 配置相应的入方向规则。

– 设置ECS安全组规则：安全组默认规则为出方向上数据报文全部放行，此时，

无需对ECS配置安全组规则。当在ECS所在安全组为非默认安全组且出方向规 则非全放通时，需要为ECS所在安全组配置相应的出方向规则。

本节主要介绍如何为GaussDB(for MySQL)实例设置相应的入方向规则。

关于添加安全组规则的详细要求，可参考《虚拟私有云用户指南》的“添加安全组规 则”章节。

注意事项

因为安全组的默认规则是在出方向上的数据报文全部放行，同一个安全组内的弹性云 服务器和GaussDB(for MySQL)数据库实例可互相访问。安全组创建后，您可以在安全 组中定义各种访问规则，当GaussDB(for MySQL)数据库实例加入该安全组后，即受到 这些访问规则的保护。

● 默认情况下，一个租户可以创建500条安全组规则。

● 为一个安全组设置过多的安全组规则会增加首包延时，因此，建议一个安全组内 的安全组规则不超过50条。

● 当需要从安全组外访问安全组内的GaussDB(for MySQL)数据库实例时，需要为安 全组添加相应的入方向规则。

说明

为了保证数据及实例安全，请合理使用权限。建议使用最小权限访问，并及时修改数据库默认端 口号（3306），同时将可访问IP地址设置为远程主机地址或远程主机所在的最小子网地址，限 制远程主机的访问范围。

源地址默认的IP地址0.0.0.0/0是指允许所有IP地址访问安全组内的GaussDB(for MySQL)数据库 实例。

操作步骤

步骤1 登录管理控制台。

步骤2 单击管理控制台左上角的 ，选择区域和项目。

步骤3 在页面左上角单击 ，选择“数据库 > 云数据库 GaussDB”。进入云数据库 GaussDB控制台，在左侧导航栏选择“GaussDB(for MySQL)”。

步骤4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页 面。

步骤5 设置安全组规则。

在“网络信息”模块的“内网安全组”处，单击安全组名称，进入安全组页面。

快速入门 2 连接实例

步骤6 在“入方向规则”子页签下单击“添加规则”，在“添加入方向规则”弹出框中填选 安全组信息，单击“确定”。

单击“+”可以依次增加多条入方向规则。

表2-2 入方向参数说明

参数 说明 取值样例

协议端口 安全组规则作用的协议。

● 目前支持“全部方通”、“全 部TCP”“自定义TCP”、“全 部UDP”、“自定义UDP”

“ICMP”和“GRE”等协议。

● 选择“全部放通”，表示全部 协议端口。

TCP

端口：允许远端地址访问弹性云 服务器指定端口。常用端口请参 见弹性云服务器常用端口。

通过内网连接实例时，输入已购 买弹性云服务器的目标实例的端 口。

● 单个端口：例如22

● 连续端口：例如22-30

● 全部端口：为空或1-65535 类型 目前支持“IPv4”和“IPv6”。 IPv4

快速入门 2 连接实例

参数 说明 取值样例 源地址 源地址：可以是IP地址、安全组。

xxx.xxx.xxx.xxx/32（IPv4地址）

xxx.xxx.xxx.0/24（子网）

0.0.0.0/0（任意地址）

0.0.0.0/0

描述 安全组规则的描述信息，非必填 项。

描述信息内容不能超过255个字 符，且不能包含“<”和“>”。

---结束

2.3.3 通过内网连接 GaussDB(for MySQL)实例

GaussDB(for MySQL)全兼容MySQL协议，因此，连接GaussDB(for MySQL) 实例有 普通连接和SSL连接。其中，SSL连接实现了数据加密功能，具有更高的安全性。

前提条件

1. 登录弹性云服务器。

– 创建并登录弹性云服务器，请参见《弹性云服务器快速入门》中“购买弹性 云服务器”和“登录弹性云服务器”。

– 通过弹性云服务器连接GaussDB(for MySQL)数据库实例，需要具备以下条 件。

您可以在Linux操作系统和Windows操作系统中，使用数据库客户端连接 GaussDB(for MySQL)实例。

– 在Linux操作系统中，您需要在可访问GaussDB(for MySQL)数据库的设备上 安装MySQL客户端。建议您下载的MySQL客户端版本高于已创建

GaussDB(for MySQL)实例中的数据库版本。

如何获取相应安装包及完成安装，请参见如何安装MySQL客户端。

– 在Windows操作系统中，您可以使用任何通用的数据库客户端连接到 GaussDB(for MySQL)实例且连接方法类似。

以MySQL-Front为例，具体操作请参见使用MySQL-Front连接实例。

快速入门 2 连接实例

使用 MySQL-Front 连接实例

步骤1 启动MySQL-Front客户端。

步骤2 在连接管理对话框中，单击“新建”。

图2-3 连接管理

步骤3 输入需要连接的GaussDB(for MySQL)数据库实例信息，然后单击“确定”。如图2-4 所示。

图2-4 添加信息

快速入门 2 连接实例

表2-3 参数说明 参数 说明

名称 连接数据库的任务名称。若不填写，系统默认与Host一致。

主机 目标实例的读写内网地址。查看目标实例的连接地址信息的步骤如下：

1. 登录GaussDB(for MySQL)管理控制台。

2. 选择目标实例所在区域。

3. 单击目标实例名称，进入“基本信息”页面。

4. 在“网络信息”模块，可查看“读写内网地址”信息。

端口 输入GaussDB(for MySQL)实例的内网端口。

用户 需要访问GaussDB(for MySQL)实例的帐号名称，默认root。

密码 要访问GaussDB(for MySQL)数据库实例的帐号所对应的密码。

步骤4 在“连接管理”窗口，选中创建的连接，单击“打开”，如下图所示。若连接信息无 误，即会成功连接实例。

图2-5 打开登录信息

----结束

SSL 连接

步骤1 登录管理控制台。

步骤2 单击管理控制台左上角的 ，选择区域和项目。

步骤3 在页面左上角单击 ，选择“数据库 > 云数据库 GaussDB”。进入云数据库 GaussDB控制台，在左侧导航栏选择“GaussDB(for MySQL)”。

快速入门 2 连接实例

步骤4 在“实例管理”页面，单击实例名称进入“基本信息”页面，单击“数据库信息”模 块“SSL”处的 ，下载根证书或捆绑包。

步骤5 将根证书导入弹性云服务器Linux操作系统。

请参见将根证书导入Windows/Linux操作系统。

步骤6 连接GaussDB(for MySQL)数据库实例。以Linux系统为例，执行如下命令。

mysql -h <hostName> -P <port> -u <userName> -p --ssl-ca=<caName>

表2-4 参数说明

参数 说明

<hostName> 读写内网地址。

在目标实例的“基本信息”页面，“网络信息”模块查看“读写 内网地址”信息。

<port> 数据库端口，默认3306。

在目标实例的“基本信息”页面，“网络信息”模块的“数据库 端口”。

<userName> 用户名，即GaussDB(for MySQL)数据库管理员帐号，默认为 root。

<caName> 相应的SSL证书文件名，该文件需放在执行该命令的路径下。

使用root用户通过SSL的方式连接数据库实例，示例如下：

mysql -h 172.16.0.31 -P 3306 -u root -p --ssl-ca=ca.pem 出现如下提示时，输入数据库帐号对应的密码：

Enter password:

----结束