Segurança de rede

Acesso a fontes de dados privadas

Fontes de dados privadas são fontes de dados no local que são protegidas por um firewall. Cloud Pak for Data as a Service requer acesso através do firewall para atingir as fontes de dados. Para fornecer acesso seguro, você cria regras de firewall de entrada para permitir o acesso para os intervalos de endereço IP para Cloud Pak for Data as a Service. As regras de entrada são criadas na ferramenta de configuração do seu firewall.

Veja Configurando o acesso ao firewall

Integrações

É possível configurar integrações com plataformas de nuvem de terceiros para permitir que os usuários do Cloud Pak for Data as a Service acessem origens de dados hospedadas nessas nuvens. Os seguintes mecanismos de segurança aplicam-se a integrações com nuvens de terceiros:

1. Uma conta autorizada na nuvem de terceiros com permissões apropriadas para visualizar credenciais da conta
2. Permissões para conexões mais seguras por meio de firewall do provedor em nuvem (para intervalos de IP específicos)

Por exemplo, você tem uma origem de dados na AWS na qual está executando seus blocos de notas. Você precisa se integrar à AWS e gera uma conexão com o banco de dados. A integração e a conexão são seguras. Após você configurar o acesso ao firewall, será possível conceder permissões apropriadas aos usuários e fornecê-las com credenciais para acessar dados.

Conexões

As conexões requerem credenciais válidas para acessar dados. O administrador ou proprietário da conta configura o tipo de credenciais que são necessárias, tanto compartilhadas quanto pessoais, em nível de conta. As credenciais compartilhadas tornam a origem de dados e as credenciais dela acessíveis para todos os colaboradores no projeto. As credenciais pessoais requerem que cada colaborador forneça suas próprias credenciais para usar a origem de dados.

As conexões requerem credenciais válidas para acessar dados. O proprietário da conta ou o administrador configura o tipo de credenciais que são necessárias no nível da conta O criador da conexão insere uma credencial válida As opções são:

• Compartilhado ou pessoal permite que os usuários especifiquem credenciais pessoais ou compartilhadas ao criar uma nova conexão, selecionando um botão de opções e inserindo a credencial correta
• Credenciais pessoais requerem que cada colaborador forneça suas próprias credenciais para usar a origem de dados.
• Credenciais compartilhadas tornam a origem de dados e suas credenciais acessíveis a todos os colaboradores no projeto. Os usuários inserem uma credencial comum que foi criada pelo criador da conexão

Para obter mais informações sobre conexões, consulte:

• Incluindo conexões em projetos
• Incluindo dados de uma conexão em um projeto
• Incluindo conexões da plataforma
• Gerenciando suas configurações de conta

Conexões com dados atrás de um firewall

Conexões seguras fornecem comunicação segura entre os recursos em uma implementação de nuvem híbrida, algumas das quais podem residir atrás de um firewall. Você tem as seguintes opções para conexões seguras entre o seu ambiente e a nuvem:

• Satellite Connector
• Localização do Satellite

VPNs

As Redes Privadas Virtuais (VPNs) criam conexões ponto-a-ponto virtuais usando protocolos de tunelamento, e criptografia e conexões dedicadas. Elas fornecem um método mais seguro para compartilhamento de dados em redes públicas.

A seguir estão as tecnologias VPN no IBM Cloud:

• VPN IPSec: a VPN facilita a conectividade da rede segura com a rede privada da plataforma IBM IaaS. Qualquer usuário na conta pode receber acesso à VPN.

• VPN para VPC: com a nuvem privada virtual (VPC), é possível provisionar a geração dois da instância de servidor virtual para a VPC com alto desempenho de rede.

Permitir endereços IP específicos

Use este mecanismo para controlar o acesso ao console de nuvem IBM e ao Cloud Pak for Data as a Service. O acesso é permitido somente por meio dos endereços IP especificados. O acesso por meio de todos os outros endereços IP é negado. É possível especificar os endereços IP permitidos para um usuário individual ou para uma conta.

Ao permitir endereços IP específicos para o watsonx.ai Studio, você deve incluir os intervalos CIDR para os nós do watsonx.ai Studio em cada região (bem como os IPs individuais do sistema cliente que são permitidos). É possível incluir os intervalos CIDR no Cloud Pak for Data as a Service seguindo estas etapas:

1. No menu principal, escolha Administração > Integrações de nuvem.
2. Clique em Configuração do firewall para exibir os endereços IP para a região atual. Use a notação CIDR.
3. Copie cada intervalo de CIDR para as Restrições de endereço IP para um usuário ou uma conta. Certifique-se de inserir também os endereços IP permitidos do cliente individual. Insira os endereços IP como uma lista separada por vírgula. Em seguida, clique em Aplicar.
4. Repita o procedimento para cada região para permitir o acesso ao watsonx.ai Studio.

Para obter instruções passo a passo sobre as restrições de usuário e conta, consulte Docs da IBM Cloud: permitindo endereços IP específicos

Permitir URLs de terceiros em uma rede interna

Se você estiver executando o Cloud Pak for Data as a Service atrás de um firewall, deverá incluir URLs de terceiros na lista de permissões para fornecer acesso ao navegador de saída. As URLs incluem recursos da IBM Cloud e de outros domínios. Cloud Pak for Data as a Service requer acesso a esses domínios para o tráfego de saída de navegador por meio do firewall.

Esta lista fornece acesso apenas para o core Cloud Pak for Data as a Service funções. Os serviços específicos podem exigir URLs adicionais. A lista não cobre URLs necessárias pelo console IBM Cloud e seus pedidos de saída.

Diversos locatários

O Cloud Pak for Data as a Service é hospedado como uma solução de ocupação variada segura e compatível na IBM Cloud. Consulte “Multi-Tenant ”.

Embora os locatários compartilhem a infraestrutura subjacente (como servidores e armazenamento), cada locatário pode ter sua própria carga de trabalho. Cada locatário é separado e isolado dos demais, mantendo seus dados isolados. Nenhuma sobreposição ou conexão permite que um locatário acesse os metadados ou as conexões de outro locatário.

As informações são organizadas da seguinte forma:

• Espaço de dados dedicado: Ao se cadastrar, o serviço cria uma área de armazenamento privada utilizando buckets dedicados do tipo IBM Cloud Object Storage ou S3. Além disso, todas as tarefas em tempo de execução são executadas em projetos ou espaços específicos de cada locatário e, portanto, ficam isoladas de outras cargas de trabalho.
• Proteção de ponta a ponta: seus dados permanecem isolados e protegidos durante todo o seu ciclo de vida, o que garante a confidencialidade e a integridade.
• Padrões de segurança consistentes: as mesmas políticas e controles de isolamento se aplicam tanto ao IBM Cloud quanto ao AWS, para que você tenha proteção e conformidade uniformes, independentemente do ambiente de hospedagem.