Создание CBH Instance

Экземпляр Cloud Bastion Host (CBH) соответствует независимо работающей системе управления CBH O&M. Чтобы выполнять O&M в реальном времени, удалённо и эффективно для ваших ресурсов, сначала создайте CBH instance, получите учётную запись на созданном CBH instance, войдите в систему CBH, сопоставленную с этим CBH instance, и настройте систему O&M.

При покупке bastion host доступные для выбора AZ зависят от выбранного типа instance (Single-node или Primary/Standby).

• Single-node: Поскольку после создания CBH instance будет создан только один bastion host, вы можете выбрать любой AZ.
• Primary/Standby: Поскольку после создания CBH instance будут созданы два bastion host, вам необходимо выбрать основной AZ и резервный AZ в соответствии с требованиями по восстановлению после катастроф (DR) или задержке сети.
  • Scenario 1: Если требуется DR, разверните primary и standby instance в разных AZ.

    Пример: Выберите AZ1 для Primary AZ и AZ2 для Standby AZ.

    Figure 1 Выбор AZ для требований к возможности DR

    
    
  • Scenario 2: Для снижения задержки сети разверните primary и standby instance в одном AZ. В отличие от сценариев DR, эта конфигурация значительно уменьшает задержку.

    Пример: Выберите AZ1 для обоих Primary AZ и Standby AZ.

    Figure 2 Выбор AZ для низкой задержки сети

    
    

• Вы получили информацию о ресурсах, которые будут управляться в системе CBH, и эти ресурсы находятся в регионе, где доступен CBH.

1. Войдите в консоль управления.
2. В левом верхнем углу страницы выберите регион, нажмите и выберите Security > Cloud Bastion Host из Service List.
3. Нажмите Create CBH Instance.
4. Выберите CBH Instance для Service Type и укажите остальные параметры по требованию. Для получения дополнительной информации см. Table 1.

   Таблица 1 Параметры инстанса CBH

   Параметр	Описание
   Режим биллинга	Режим биллинга инстанса CBH. В настоящее время поддерживается только Pay-per-use. Биллинг Pay-per-use — это постоплатный режим, при котором вы платите за использованное по часам. ПРИМЕЧАНИЕ: После включения режима биллинга Pay-per-use биллинг прекращается только при удалении целевого инстанса, независимо от его статуса работы.
   Регион	Выберите регион, в котором вы хотите развернуть bastion host. Для низкой сетевой задержки и быстрого доступа к ресурсам выберите регион, ближайший к вашим рабочим нагрузкам.
   Instance Type	Выберите тип инстанса single-node или primary/standby в соответствии с требованиями вашего сервиса. Single-node: Только один bastion host доступен после покупки. Primary/Standby: После покупки предоставляются два bastion host, образующие двухузловой кластер. Как только primary bastion host становится недоступным, standby сразу берёт на себя работу. ПРИМЕЧАНИЕ: Если вы покупаете инстанс primary/standby, не отключайте HA, иначе logins не будут работать.
   AZ	AZ — это место, где развертывается созданный вами bastion host инстанс.
   Instance Name	Имя инстанса CBH.
   Specifications	Спецификации вашего инстанса CBH. CBH предоставляет стандартные и профессиональные издания. Вы можете выбрать спецификации активов 50, 100, 200, 500, 1,000, 2,000 и 5,000. Количество активов указывает максимальное число ресурсов, которыми может управлять созданный вами инстанс, и максимальное число одновременных соединений, которые ваш инстанс может установить. Количество vCPUs и объём дисков данных и системных дисков зависят от количества активов. Например, если вы выбираете 100 активов, количество ресурсов, которыми может управлять ваш инстанс, и максимальное число одновременных соединений, которые ваш инстанс может установить, оба равны 100. NOTE: В настоящее время primary/standby инстансы не могут управлять ресурсами публичной сети с использованием EIPs.
   VPC	Virtual Private Cloud (VPC), где расположен ваш instance. Выберите VPC в текущем регионе. Если в текущем регионе нет доступных VPC, нажмите View VPC и создайте её. NOTE: По умолчанию сети в VPC разных регионов или даже в одном регионе не соединены. Сетевые коммуникации между этими разными сетями изолированы друг от друга. Это не относится к разным AZ в одной VPC. Две сети в одной VPC должны иметь возможность обмениваться трафиком, даже если они находятся в разных AZ. Инстанс CBH напрямую управляет и предоставляет доступ ресурсам, таким как ECSs, в той же VPC в том же регионе. Чтобы управлять ресурсами, такими как ECSs, в разных VPC в том же регионе, создайте VPC peering connection, используйте VPN или другие методы подключения сетей. Подробности см. Creating a VPC Peering Connection. Управление ECSs между регионами не рекомендуется.
   Subnet	Подсеть в текущем VPC для вашего CBH instance. NOTE: Выбранная подсеть должна находиться в сетевом сегменте VPC.
   Assign IPv4 Address	Выберите Auto или Manual. Если вы выберете Manual, вы сможете просмотреть использованные IP-адреса.
   Security Group	Security group для вашего CBH instance. The default security group is Sys-default in the current region. Если security group недоступна, нажмите Create Security Group, чтобы создать или настроить новую security group. ПРИМЕЧАНИЕ: Security group предоставляет правила доступа для CBH instances и ресурсов, которые имеют одинаковые требования к защите и взаимно доверяют друг другу в одном VPC. CBH instances защищаются этими правилами доступа после добавления в security group. CBH instances и ECS могут быть добавлены в одни и те же security groups. Они не влияют друг на друга при реализации правил security group. Подробности о том, как изменить security group, см. Changing Security Groups. Перед созданием HA instances убедитесь, что security group разрешает входящий трафик с портов 22, 31036, 31679 и 31873. При создании bastion host instance порты 80, 8080, 443 и 2222 автоматически включаются. Если они не нужны, отключите их сразу после создания instance. Во время обновления между версиями порты 22, 31036, 31679 и 31873 автоматически включаются для instance. После обновления оставьте порт 31679 включённым и сразу отключите остальные порты, если они не нужны.
   EIP	(Optional) Выберите EIP в текущем регионе. Если EIP недоступен в текущем регионе, нажмите Create EIP, чтобы создать его. ПРИМЕЧАНИЕ: Если вы выбираете EIP при создании instance, но привязка EIP к instance не происходит после перехода instance в состояние running, это может означать, что EIP уже привязан к другим серверам во время создания instance. В этом случае привяжите другой EIP к instance, следуя инструкциям в Binding an EIP to a CBH Instance. EIP может быть привязан только к одному облачному ресурсу. Инстанс CBH не может совместно использовать EIP с другими облачными ресурсами. После создания инстанса CBH необходимо привязать EIP к инстансу для входа в систему CBH. Для инстанса CBH требуется создать как минимум один EIP. Вы можете привязать EIP к инстансу CBH сейчас или позже, обратившись к Binding an EIP to a CBH Instance. Чтобы соответствовать требованиям системы CBH, установите пропускную способность EIP не менее 5 Mbit/s. После создания инстанса CBH вы можете отвязать исходный EIP от инстанса и привязать к нему новый EIP.
   Enterprise Project	Выберите enterprise project, к которому относится создаваемый инстанс CBH. default enterprise project выбран по умолчанию.
   Username	Используется имя пользователя по умолчанию admin. admin — это учетная запись системного администратора. Эта учетная запись имеет наивысшие права операций. Обеспечьте безопасность информации об учетной записи.
   Password	Пароль, задаваемый пользователем, для учетной записи admin. ПРИМЕЧАНИЕ: Пароль должен: Содержать от 8 до 32 символов. Содержать как минимум три из следующих типов символов: заглавные буквы (A‑Z), строчные буквы (a‑z), цифры (0‑9) и следующие специальные символы: !@$%^-_=+[{}]:,./?~#* Не может содержать имя пользователя или имя пользователя, записанное наоборот. Не может содержать более двух подряд идущих одинаковых символов. Введите одинаковый пароль в текстовые поля Password и Confirm Password. Система CBH не может получить пароль системного администратора admin. Обеспечьте безопасность информации о своей учётной записи. При первом входе в систему CBH под пользователем admin измените пароль и укажите номер мобильного телефона согласно подсказкам. В противном случае вход в систему CBH будет невозможен. If you forget the password of user admin of the instance after you create it, you can reset the password.
   Tag	Tags: Рекомендуется использовать функцию предопределённых тегов TMS для добавления одинакового тега к различным облачным ресурсам. Если в вашей организации для CBH настроена политика тегов, необходимо добавлять теги в соответствии с этой политикой. Если тег не соответствует политикам тегов, создание инстансов CBH может завершиться неудачей. Обратитесь к администратору организации для получения дополнительной информации о политиках тегов.

5. Confirm details in the Current Configuration area and click Create Now.
   Note

   При получении уведомления о сетевых ограничениях нажмите Enable, чтобы снять ограничения и позволить выдачу создаваемого инстанса.

   Вы можете просмотреть правила в security group и firewall ACL.

   • Доступ к порту 9443 разрешён в outbound‑направлении security group, к которой относится ваш инстанс CBH.
   • Подсеть, в которой находится инстанс, не связана с firewall ACL, либо правило ACL связанного firewall разрешает инстансу доступ к порту 9443 в outbound‑направлении.

6. На отображаемой странице проверьте детали заказа и нажмите Submit.
7. Вернитесь к CBH instance list и проверьте новый созданный CBH instance.

   Сопоставленная CBH system автоматически создаётся для вас после создания CBH instance. На завершение создания уходит около 10 минут.

   Note

   Не отвязывайте EIP от CBH instance до создания сопоставленной CBH system. Если вы отвяжете EIP от инстанса до того, как его status изменится на Running, сопоставленная CBH system может не быть создана.

• Если у инстанса Status значение Running, CBH system успешно создана. Затем вы можете log in to the CBH system.
• Если у инстанса Status значение Failed to create, проверьте причину сбоя в отображаемом dialog box.

• Вам необходимо своевременно настроить и заменить сертификаты CBH system.