绑定和解绑弹性公网IP

操作场景

Supabase应用支持直接绑定和解绑弹性公网IP，实现公网环境下登录和管理应用。

前提条件

• 注册华为云账号

• 如果需要对华为云上的资源进行精细管理，请使用统一身份认证服务（Identity and Access Management，简称IAM）创建IAM用户及用户组，并授权，以使得IAM用户获得具体的操作权限，更多操作，请参见通过IAM角色或策略授予使用RDS的权限。

• 登录账号需要具备授权项“rds:aiApplication:switchEipBind”、“vpc:publicIps:update”、“rds:aiApplication:get”和“rds:aiApplication:list”。

注意事项

• 您需要设置安全组，开通需访问应用的内网IP地址和端口，才可以公网访问应用服务。在访问Supabase应用前，您需要将访问应用的IP地址，或者IP段加安全组入方向的访问规则，操作请参见设置安全组规则。
• 公网IP的详细收费标准请参考弹性公网IP价格详情。
• 如需开启公网邮箱或GitHub登录认证功能，请配置安全组在出方向上的访问规则，允许Supabase能访问公网网络（邮箱地址/端口和GitHub地址/端口）。
• 在以下用户认证Auth配置场景中，如果使用到了Supabase应用的弹性公网IP，则不能直接解绑公网IP，需要先手动关闭相关功能，确保配置已不再关联该IP地址。否则会导致Auth认证故障或功能不可用，影响正在运行的业务，造成安全和功能问题。
  • 在IDP身份验证提供商中 ，选择并开启了Github认证。
  • 配置了邮箱模板，并且使用Supabase Storage托管了邮件模板文件，地址中包含了Supabase应用的弹性公网IP。
  • 访问控制中，应用外部访问地址填写的是Supabase的弹性公网IP。

约束限制

• 对于已绑定弹性公网IP的应用，需解绑后，才可重新绑定其他EIP。
• 弹性公网EIP不能被其他网关或应用使用，一个弹性公网IP只能绑定一个应用。
• 如果应用已启用了公网环境下邮箱或GitHub登录的完整认证功能，请勿解除EIP绑定，否则会造成注册、登录异常，影响业务正常使用。
• DNAT网关绑定与弹性公网IP绑定不能同时操作。绑定了DNAT网关地址后，无法再绑定弹性公网IP；同理，绑定了弹性公网IP后，也无法再绑定DNAT网关地址。需要解绑后，才能操作。

权限要求

• 如果通过主账号绑定网关地址，不需要任何额外配置。如果是IAM子用户并且是第一次操作绑定网关地址，则需要给子用户配置创建委托的权限。
• 在进行策略授权时，推荐使用IAM项目授权来绑定和解绑网关地址，不支持通过企业项目授权。
• IAM子用户绑定网关地址时必须拥有如下权限：

  表1 IAM子用户绑定网关地址权限说明

  当前IAM策略	需要的IAM 3.0权限	需要的IAM 5.0权限
  基于角色或策略（IAM 3.0）	gaussdb:instance:unbindPublicIp gaussdb:instance:bindPublicIp gaussdb:instance:list nat:dnatRules:create nat:natGateways:list nat:snatRules:list nat:dnatRules:delete nat:natGateways:get nat:dnatRules:get nat:dnatRules:update nat:dnatRules:list 如不满足，请创建自定义策略。	eip:publicIps:associateInstance eip:publicIps:disassociateInstance nat:natGateways:listTags 如不满足，请创建自定义策略并附加至主体。
  基于身份策略（IAM 5.0）	不涉及	nat:dnatRules:create nat:dnatRules:delete nat:dnatRules:get nat:dnatRules:list nat:dnatRules:update nat:natGateways:get nat:natGateways:list nat:natGateways:listTags nat:snatRules:list eip:publicIps:associateInstance eip:publicIps:disassociateInstance 如不满足，请创建自定义策略并附加至主体。

操作步骤