管理应用安全组

操作场景

安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，并相互信任的弹性云服务器云主机和云数据库RDS Supabase应用提供访问策略。

为了保障Supabase应用的安全性和稳定性，在使用云数据库RDS Supabase应用之前，您需要设置安全组，开通需访问应用的IP地址和端口。

通过DNAT绑定弹性公网IP访问Supabase应用时，需要为应用所在安全组配置相应的入方向规则。

前提条件

• 注册华为云账号
• 如果需要对华为云上的资源进行精细管理，请使用统一身份认证服务（Identity and Access Management，简称IAM）创建IAM用户及用户组，并授权，以使得IAM用户获得具体的操作权限，更多操作，请参见通过IAM角色或策略授予使用RDS的权限。

注意事项

• 为了保证数据及应用安全，请合理使用权限。建议使用最小权限访问，同时将可访问IP地址设置为远程主机地址或远程主机所在的最小子网地址，限制远程主机的访问范围。

  源地址默认的IP地址0.0.0.0/0是指允许所有IP地址访问安全组内的Supabase应用。

• 您需要设置安全组，开通需访问应用的IP地址和端口，才可以访问Supabase应用服务。在访问应用前，您需要将访问应用的IP地址，或者IP段加安全组入方向的访问规则。
• 关于添加安全组规则的详细要求，可参考《虚拟私有云用户指南》的“添加安全组规则”章节。
• 您可以进入创建安全组页面，自行创建符合要求的安全组，并配置对应的访问规则。
  • 确保入方向规则中，已放通应用访问、NAT映射端口。
    图1 AI应用公网访问对应安全组中入方向规则配置
    
  • 确保出方向规则中，已放通业务方的端口（如Auth配置中对接的邮箱服务器、GitHub、用户前端项目）。
• 针对托管的RDS数据库实例，其绑定的安全组中必须添加数据库端口的入方向访问规则；否则Supabase应用无法连接数据库，会导致应用状态异常，功能不可用。
  • 如果数据库实例的端口未设置（默认5432），您可以选择默认的安全组，其预置了一条入方向上5432端口的访问规则。
  • 如果数据库实例的端口已设置（非5432），不能直接使用默认的安全组，且需保证所选的安全组中，已正确添加指定数据库端口的入方向访问规则。

约束限制

• 正在执行操作的应用不能进行此操作，只有在应用操作完成后，才可进行安全组配置。
• 修改安全组过程中，Supabase应用功能将不可用。请在业务低峰期进行操作，避免对高峰期业务造成影响。

操作步骤

1. 登录RDS管理控制台。
2. 单击管理控制台左上角的，选择区域。
3. 左侧导航栏中选择“AI应用开发平台”，进入AI应用开发平台管理界面。
4. 在“AI应用开发平台”列表页面，单击指定AI应用的名称进入应用详情
5. 在详情界面，单击网络信息中“安全组”配置右侧的“管理”。
6. 在安全组管理弹框中，选择要配置的安全组，单击“确定”，下发修改安全组的任务。
   图2 AI应用修改安全组配置
   

7. 稍后刷新详情页面，查看网络信息中的安全组配置。查看安全组是否成功修改。