diff --git a/English/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png b/English/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png new file mode 100644 index 00000000..33d39623 Binary files /dev/null and b/English/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png differ diff --git a/English/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png b/English/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png new file mode 100644 index 00000000..3618c990 Binary files /dev/null and b/English/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png differ diff --git a/English/.gitbook/assets/IP-whitelist/list-ip-whitelist.png b/English/.gitbook/assets/IP-whitelist/list-ip-whitelist.png new file mode 100644 index 00000000..ae22ae84 Binary files /dev/null and b/English/.gitbook/assets/IP-whitelist/list-ip-whitelist.png differ diff --git a/English/SUMMARY.md b/English/SUMMARY.md index bc7160ab..1834b300 100644 --- a/English/SUMMARY.md +++ b/English/SUMMARY.md @@ -1132,6 +1132,7 @@ * [Limitation](identity-and-access-management-iam/gioi-han-su-dung.md) * [Security for IAM](identity-and-access-management-iam/security-for-iam.md) * [Pasword policy & session timeout](identity-and-access-management-iam/pasword-policy-and-session-timeout.md) + * [Configure IP Whitelist](identity-and-access-management-iam/configure-ip-whitelist.md) * [Billing & Payment](billing-management/README.md) * [vConsole – Management channel for billing and resources](billing-management/vconsole-management-channel-for-billing-and-resources/README.md) * [What is vConsole](billing-management/vconsole-management-channel-for-billing-and-resources/what-is-vconsole.md) diff --git a/English/identity-and-access-management-iam/configure-ip-whitelist.md b/English/identity-and-access-management-iam/configure-ip-whitelist.md new file mode 100644 index 00000000..ae703174 --- /dev/null +++ b/English/identity-and-access-management-iam/configure-ip-whitelist.md @@ -0,0 +1,193 @@ +# Configure IP Whitelist + +> This guide helps you restrict sign-in to your GreenNode account to approved networks only, using the **IP Whitelist** feature in IAM. + +--- + +## Overview + +**IP Whitelist** is an access control layer at the sign-in stage: while a whitelist is enabled, users in the matching **Scope** can only sign in from a source IP that falls inside the declared list. + +Each whitelist entry has three parts: + +* one or more allowed **IP addresses / IP ranges (CIDR)**, +* one or more **Scopes** — the user types the rule applies to, +* an **Enabled** state — whether the rule is in effect. + +### Supported scopes + +| Scope | Applies to | +|---|---| +| **Root user** | The root (registration) account | +| **IAM user** | IAM users belonging to the account | +| **Identity provider** | Users signing in through an Identity Provider | + +{% hint style="info" %} +Service Accounts are **not** among the available Scopes, so IP Whitelist does not affect Service Account authentication (API, Terraform, CLI). +{% endhint %} + +--- + +## Prerequisites + +* A GreenNode account with access to the IAM Console. +* Sign in as the **Root user**, or as an IAM user attached to a Policy that grants IP Whitelist management permissions. +* Know your **current public IP** and the network ranges you need to allow (office, corporate VPN, NAT gateway…). + +--- + +## Open the IP Whitelist page + +1. Sign in to the [IAM Console](https://iam.console.greennode.ai/). +2. Select **IP Whitelist** in the left menu (route [https://iam.console.greennode.ai/ip-whitelists](https://iam.console.greennode.ai/ip-whitelists)). + +

The IP Whitelist list in the IAM Console

+ +### Table columns + +| Column | Meaning | +|---|---| +| **Name** | Whitelist name, shown together with its resource ID (click the ID to copy) | +| **Description** | Description; hover to see the full text if it is truncated | +| **IP addresses/IP ranges** | The IP/CIDR list; up to 5 items are shown, click **View all (n)** for the rest | +| **Scopes** | The user types the rule applies to | +| **Enabled** | Quick on/off toggle for the rule | +| **Created at** | Creation time, formatted `dd/MM/yyyy HH:mm:ss` | + +You can sort by **Name** and **Created at** (newest first by default). The list is paginated; change the page size in the **Show** selector below the table. + +### Toolbar + +| Control | Purpose | +|---|---| +| Search box | Filters by name, IP/CIDR or description — case-insensitive, substring match | +| **Add an IP whitelist** | Opens the create form | +| **Delete** | Enabled only when at least one row is selected | +| Reload icon | Clears the search keyword, returns to page 1 (10 rows per page) and reloads the data | + +Filter and pagination state is kept in the URL (`?whitelist-ip=...&pageNumber=...&pageSize=...`), so you can copy the link to share exactly what you are looking at. + +When the account has no whitelist yet, the page shows an introduction screen with an **Add an IP whitelist** button. + +--- + +## Create an IP whitelist + +**Step 1: Open the create form** + +1. Click **Add an IP whitelist** in the toolbar. + +

The Add an IP whitelist form

+ +**Step 2: Fill in the whitelist details** + +1. Enter a **Name** to identify the rule. +2. Enter a **Description** (optional) to record what the rule is for. +3. Enter the IP list in **IP addresses & IP ranges**, separated by commas. +4. Tick at least one entry under **Scopes**. +5. Keep or clear **Enabled immediately**, depending on when you want the rule to take effect. + +| Field | Required | Input rules | +|---|---|---| +| **Name** | Yes | 5–50 characters; letters, digits, dots (`.`), underscores (`_`) and hyphens (`-`) only | +| **Description** | No | Up to 300 characters; letters, digits, `_`, `-`, `.`, `,` and spaces only | +| **IP addresses & IP ranges** | Yes | Up to 10 comma-separated IPv4/IPv6 items; each item is a plain IP (`10.0.0.1`) or a CIDR (`10.0.0.0/24`, `2001:db8::/32`) | +| **Scopes** | Yes | Select at least one of **Root user**, **IAM user**, **Identity provider** | +| **Enabled immediately** | No | Ticked by default — the rule takes effect as soon as it is created. Clear it to create the rule now and activate it later | + +Example of a valid **IP addresses & IP ranges** value: + +```text +203.0.113.10, 10.0.0.0/24, 2001:db8::/32 +``` + +**Step 3: Save the rule** + +1. Click **Save**. + +**Save** becomes active only when the form is valid and at least one Scope is selected. The hint line under each field turns red when the value is invalid. + +{% hint style="warning" %} +If you leave **Enabled immediately** ticked and the IP list does not contain your current IP, the rule takes effect right away and you may be blocked at your next sign-in. Read [Safe rollout](#safe-rollout-avoid-locking-yourself-out) before enabling it. +{% endhint %} + +--- + +## Enable or disable an IP whitelist + +1. Flip the switch in the **Enabled** column on the matching row. +2. Confirm in the dialog that appears. + +A disabled whitelist is still stored but has **no effect** on sign-in. This is the safe way to temporarily lift a rule without deleting its configuration. + +--- + +## Edit an IP whitelist + +1. Click the **pencil** icon at the end of the row you want to change. +2. Update **Name**, **Description**, **CIDRs** or **Scopes**. +3. Click **Save**. + +

The Edit IP whitelist form

+ +Notes when editing: + +* The **Enabled** state cannot be changed here — use the toggle in the table's **Enabled** column. +* **Save** becomes active only once you actually change a value and the form is still valid. +* The IP list is **replaced as a whole**, not appended to. To add a range, keep the existing ones in the box and append the new one after a comma. + +--- + +## Delete an IP whitelist + +1. Tick one or more rows in the checkbox column (tick the header checkbox to select the whole current page). +2. Click **Delete** in the toolbar. +3. Review the whitelist names listed in the dialog, then click **Delete** to confirm. + +Items are deleted in parallel and each one reports its own result, so a failure on one item does not stop the others. + +{% hint style="warning" %} +Deletion **cannot be undone**. If you only want to pause a rule, turn off its **Enabled** toggle instead of deleting it. +{% endhint %} + +--- + +## Safe rollout — avoid locking yourself out + +Enabling a whitelist that does not include your current IP can leave you — and the Root user — unable to sign in. The procedure below keeps that risk under control: + +1. Determine your **current public IP** before creating the rule. +2. Create the whitelist with **Enabled immediately** **cleared**, then re-check the IP list and the Scopes. +3. Include backup networks (corporate VPN, a second office) in the same whitelist up front. +4. Enable the whitelist, then try signing in from another browser or an incognito session **before** closing your current one. +5. For dynamic ISP addresses, use a wide enough CIDR instead of a single IP so you are not blocked when the address changes. + +{% hint style="warning" %} +If every user is already blocked, there is no self-service recovery on the Portal — contact the GreenNode 24/7 support team for assistance. +{% endhint %} + +--- + +## Troubleshooting + +| Symptom | Common cause | What to do | +|---|---|---| +| **Save** stays disabled | A field is still invalid, no Scope is selected, or (when editing) nothing has changed yet | Check the red hint line under each field and tick at least one Scope | +| The IP hint line turns red | An item has the wrong format | Check the commas and CIDR prefixes (IPv4: 0–32, IPv6: 0–128); 10 items maximum | +| *Failed* notification on save | An error returned by the API (duplicate name, missing permission, connection issue) | Read the message in the notification and try again | +| Search returns nothing | The keyword only matches name, IP/CIDR and description | Click the reload icon to clear the filter | +| The table is empty although the account has whitelists | The IAM user has not been granted view permission | Check the Policies attached to your user or group | +| Cannot sign in after enabling | Your current IP is not covered by an enabled whitelist | Ask someone who still has access to disable the rule, or contact 24/7 support | + +--- + +## Result + +Once finished, your account only accepts sign-in from the network ranges you declared, for exactly the user types you selected. You can enable, disable or adjust the IP list at any time without affecting your other IAM configuration. + +| I want to... | Go to | +|---|---| +| Tighten password and session timeout policies | [Pasword policy & session timeout](pasword-policy-and-session-timeout.md) | +| Review the security recommendations for IAM | [Security for IAM](security-for-iam.md) | +| Check who changed the IP Whitelist configuration | [Audit Logs Management](quan-ly-audit-logs.md) | +| Grant an IAM user permission to manage IP Whitelist | [Access Management via Policy](quan-ly-truy-cap-iam/quan-ly-truy-cap-qua-policy.md) | diff --git a/English/overview/product-updates-all/2026.md b/English/overview/product-updates-all/2026.md index a8f24a36..f04c4c84 100644 --- a/English/overview/product-updates-all/2026.md +++ b/English/overview/product-updates-all/2026.md @@ -213,6 +213,16 @@ vServer introduces **Operation and Maintenance (O\&M) — Scheduled Task** in Be **Jul 2026** +**IAM - IP Whitelist** + +IAM introduces **IP Whitelist**, letting you restrict sign-in to your GreenNode account to approved networks only — an extra layer of protection at the sign-in stage, alongside password policy and MFA. + +* Declare up to **10 IP addresses or CIDR ranges** (IPv4 and IPv6) per rule. +* Apply rules by **Scope**: **Root user**, **IAM user** and **Identity provider**; Service Accounts are not affected. +* The **Enabled** toggle turns a rule on or off instantly without deleting its configuration — handy when you need to lift a restriction temporarily. +* The **Enabled immediately** option lets you create a rule now and activate it later, reducing the risk of locking yourself out. +* Learn more at [Configure IP Whitelist](../../identity-and-access-management-iam/configure-ip-whitelist.md). + **VKS - GreenNode CLI** The GreenNode CLI (the `grn` command) lets you manage the full lifecycle of VKS **Clusters** and **Node Groups** directly from your terminal — ideal for fast, repeatable operations and automation scripts. diff --git a/Vietnamese/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png b/Vietnamese/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png new file mode 100644 index 00000000..33d39623 Binary files /dev/null and b/Vietnamese/.gitbook/assets/IP-whitelist/Add-ip-whitelist.png differ diff --git a/Vietnamese/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png b/Vietnamese/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png new file mode 100644 index 00000000..3618c990 Binary files /dev/null and b/Vietnamese/.gitbook/assets/IP-whitelist/edit-ip-whitelist.png differ diff --git a/Vietnamese/.gitbook/assets/IP-whitelist/list-ip-whitelist.png b/Vietnamese/.gitbook/assets/IP-whitelist/list-ip-whitelist.png new file mode 100644 index 00000000..ae22ae84 Binary files /dev/null and b/Vietnamese/.gitbook/assets/IP-whitelist/list-ip-whitelist.png differ diff --git a/Vietnamese/SUMMARY.md b/Vietnamese/SUMMARY.md index 73487d1b..3aa2452f 100644 --- a/Vietnamese/SUMMARY.md +++ b/Vietnamese/SUMMARY.md @@ -1181,6 +1181,7 @@ * [Giới hạn sử dụng](identity-and-access-management-iam/gioi-han-su-dung.md) * [Security for IAM](identity-and-access-management-iam/security-for-iam.md) * [Chính sách mật khẩu & thời gian phiên làm việc](identity-and-access-management-iam/chinh-sach-mat-khau-and-thoi-gian-phien-lam-viec.md) + * [Cấu hình IP Whitelist](identity-and-access-management-iam/cau-hinh-ip-whitelist.md) * [Quản lý hóa đơn, chi phí & tài nguyên trên GreenNode](quan-ly-hoa-don-chi-phi-and-tai-nguyen-tren-vng-cloud/README.md) * [vConsole - Kênh quản lý chung về hóa đơn và tài nguyên trên GreenNode](quan-ly-hoa-don-chi-phi-and-tai-nguyen-tren-vng-cloud/vconsole-kenh-quan-ly-chung-ve-hoa-don-va-tai-nguyen-tren-vng-cloud/README.md) * [vConsole là gì?](quan-ly-hoa-don-chi-phi-and-tai-nguyen-tren-vng-cloud/vconsole-kenh-quan-ly-chung-ve-hoa-don-va-tai-nguyen-tren-vng-cloud/vconsole-la-gi.md) diff --git a/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md b/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md index 98a064d5..1a28096b 100644 --- a/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md +++ b/Vietnamese/gioi-thieu-chung/thong-bao-va-cap-nhat/2026.md @@ -206,6 +206,16 @@ Kết nối AI assistant (Claude, Cursor, VS Code…) trực tiếp vào VKS qua **Tháng 7, 2026** +**IAM - IP Whitelist** + +IAM ra mắt **IP Whitelist**, cho phép giới hạn việc đăng nhập vào tài khoản GreenNode chỉ từ những dải mạng đã được duyệt — thêm một lớp bảo vệ ở tầng đăng nhập bên cạnh chính sách mật khẩu và MFA. + +* Khai báo tối đa **10 địa chỉ IP hoặc dải CIDR** (IPv4 và IPv6) cho mỗi quy tắc. +* Áp dụng theo **Scope**: **Root user**, **IAM user** và **Identity provider**; Service Account không bị ảnh hưởng. +* Công tắc **Enabled** cho phép bật/tắt quy tắc tức thì mà không cần xóa cấu hình — thuận tiện khi cần tạm gỡ chặn. +* Tùy chọn **Enabled immediately** giúp tạo trước và kích hoạt sau, hạn chế rủi ro tự khóa tài khoản. +* Tìm hiểu thêm tại [Cấu hình IP Whitelist](../../identity-and-access-management-iam/cau-hinh-ip-whitelist.md). + **VKS - GreenNode CLI** GreenNode CLI (lệnh `grn`) cho phép quản lý toàn bộ vòng đời **Cluster** và **Node Group** của VKS trực tiếp từ terminal — phù hợp cho thao tác nhanh, lặp lại hoặc viết script tự động hoá. diff --git a/Vietnamese/identity-and-access-management-iam/cau-hinh-ip-whitelist.md b/Vietnamese/identity-and-access-management-iam/cau-hinh-ip-whitelist.md new file mode 100644 index 00000000..3eae515c --- /dev/null +++ b/Vietnamese/identity-and-access-management-iam/cau-hinh-ip-whitelist.md @@ -0,0 +1,193 @@ +# Cấu hình IP Whitelist + +> Hướng dẫn này giúp bạn giới hạn việc đăng nhập vào tài khoản GreenNode chỉ từ những dải mạng đã được duyệt, bằng tính năng **IP Whitelist** trong IAM. + +--- + +## Tổng quan + +**IP Whitelist** là lớp kiểm soát truy cập ở tầng đăng nhập: khi một whitelist đang bật, người dùng thuộc **Scope** tương ứng chỉ đăng nhập được nếu IP nguồn nằm trong danh sách đã khai báo. + +Mỗi bản ghi whitelist gồm ba thành phần: + +* một hoặc nhiều **địa chỉ IP / dải IP (CIDR)** được phép, +* một hoặc nhiều **Scope** — loại người dùng mà quy tắc này áp dụng, +* trạng thái **Enabled** — quy tắc đang có hiệu lực hay không. + +### Các Scope được hỗ trợ + +| Scope | Áp dụng cho | +|---|---| +| **Root user** | Tài khoản gốc (tài khoản đăng ký) | +| **IAM user** | Các IAM user thuộc tài khoản | +| **Identity provider** | Người dùng đăng nhập thông qua Identity Provider | + +{% hint style="info" %} +Service Account hiện **không** nằm trong danh sách Scope, nên IP Whitelist không ảnh hưởng đến việc xác thực bằng Service Account (API, Terraform, CLI). +{% endhint %} + +--- + +## Điều kiện cần (Prerequisites) + +* Đã có tài khoản GreenNode và đăng nhập được vào IAM Console. +* Đăng nhập bằng **Root user**, hoặc bằng IAM user đã được gắn Policy có quyền quản lý IP Whitelist. +* Đã xác định **IP public hiện tại** của bạn và các dải mạng cần cho phép (văn phòng, VPN công ty, NAT gateway…). + +--- + +## Truy cập trang IP Whitelist + +1. Đăng nhập [IAM Console](https://iam.console.greennode.ai/). +2. Chọn **IP Whitelist** trên menu bên trái (đường dẫn [https://iam.console.greennode.ai/ip-whitelists](https://iam.console.greennode.ai/ip-whitelists)). + +

Danh sách IP Whitelist trong IAM Console

+ +### Các cột trong bảng + +| Cột | Ý nghĩa | +|---|---| +| **Name** | Tên whitelist, hiển thị kèm resource ID (bấm vào ID để copy) | +| **Description** | Mô tả; di chuột để xem đầy đủ nếu nội dung bị cắt | +| **IP addresses/IP ranges** | Danh sách IP/CIDR; hiển thị tối đa 5 mục, bấm **View all (n)** để xem hết | +| **Scopes** | Các loại người dùng mà quy tắc áp dụng | +| **Enabled** | Công tắc bật/tắt nhanh quy tắc | +| **Created at** | Thời điểm tạo, định dạng `dd/MM/yyyy HH:mm:ss` | + +Bạn có thể sắp xếp theo **Name** và **Created at** (mặc định mới nhất lên trước). Danh sách được phân trang; đổi số dòng mỗi trang tại ô **Show** ở cuối bảng. + +### Thanh công cụ + +| Thành phần | Công dụng | +|---|---| +| Ô tìm kiếm | Lọc theo tên, IP/CIDR hoặc mô tả — không phân biệt hoa thường, khớp theo chuỗi con | +| **Add an IP whitelist** | Mở form tạo whitelist mới | +| **Delete** | Chỉ bật khi đã chọn ít nhất một dòng | +| Biểu tượng reload | Xóa từ khóa tìm kiếm, quay về trang 1 (10 dòng/trang) và tải lại dữ liệu | + +Bộ lọc và phân trang được lưu trên URL (`?whitelist-ip=...&pageNumber=...&pageSize=...`), nên bạn có thể copy link để chia sẻ đúng trạng thái đang xem. + +Khi tài khoản chưa có whitelist nào, trang hiển thị màn hình giới thiệu kèm nút **Add an IP whitelist**. + +--- + +## Tạo một IP whitelist + +**Bước 1: Mở form tạo mới** + +1. Nhấn **Add an IP whitelist** trên thanh công cụ. + +

Form Add an IP whitelist

+ +**Bước 2: Điền thông tin whitelist** + +1. Nhập **Name** — tên định danh cho quy tắc. +2. Nhập **Description** (tùy chọn) để ghi rõ mục đích sử dụng. +3. Nhập danh sách IP vào ô **IP addresses & IP ranges**, phân tách bằng dấu phẩy. +4. Tick ít nhất một mục trong **Scopes**. +5. Giữ hoặc bỏ tick **Enabled immediately** tùy theo thời điểm bạn muốn quy tắc có hiệu lực. + +| Trường | Bắt buộc | Quy tắc nhập liệu | +|---|---|---| +| **Name** | Có | 5–50 ký tự; chỉ gồm chữ, số, dấu chấm (`.`), gạch dưới (`_`), gạch nối (`-`) | +| **Description** | Không | Tối đa 300 ký tự; chỉ gồm chữ, số, `_`, `-`, `.`, `,` và khoảng trắng | +| **IP addresses & IP ranges** | Có | Tối đa 10 mục IPv4/IPv6 phân tách bằng dấu phẩy; mỗi mục là IP đơn (`10.0.0.1`) hoặc CIDR (`10.0.0.0/24`, `2001:db8::/32`) | +| **Scopes** | Có | Chọn ít nhất một trong **Root user**, **IAM user**, **Identity provider** | +| **Enabled immediately** | Không | Mặc định được tick — quy tắc có hiệu lực ngay sau khi tạo. Bỏ tick nếu muốn tạo trước, kích hoạt sau | + +Ví dụ giá trị hợp lệ cho ô **IP addresses & IP ranges**: + +```text +203.0.113.10, 10.0.0.0/24, 2001:db8::/32 +``` + +**Bước 3: Lưu quy tắc** + +1. Nhấn **Save**. + +Nút **Save** chỉ sáng khi form hợp lệ và đã chọn ít nhất một Scope. Dòng gợi ý dưới mỗi ô chuyển sang màu đỏ khi giá trị nhập không hợp lệ. + +{% hint style="warning" %} +Nếu bạn giữ **Enabled immediately** và danh sách IP không chứa IP hiện tại của bạn, quy tắc có hiệu lực ngay và bạn có thể bị chặn ở lần đăng nhập kế tiếp. Xem [Triển khai an toàn](#trien-khai-an-toan-tranh-tu-khoa-tai-khoan) trước khi bật. +{% endhint %} + +--- + +## Bật hoặc tắt một IP whitelist + +1. Gạt công tắc ở cột **Enabled** trên dòng tương ứng. +2. Xác nhận trong hộp thoại hiện ra. + +Whitelist ở trạng thái tắt vẫn được lưu nhưng **không có hiệu lực** với việc đăng nhập. Đây là cách an toàn để tạm gỡ một quy tắc mà không cần xóa cấu hình. + +--- + +## Chỉnh sửa một IP whitelist + +1. Nhấn biểu tượng **bút chì** ở cuối dòng cần sửa. +2. Cập nhật **Name**, **Description**, **CIDRs** hoặc **Scopes**. +3. Nhấn **Save**. + +

Form Edit IP whitelist

+ +Lưu ý khi chỉnh sửa: + +* Trạng thái **Enabled** không sửa được trong form này — dùng công tắc ở cột **Enabled** của bảng. +* Nút **Save** chỉ sáng khi bạn thực sự thay đổi một giá trị và form vẫn hợp lệ. +* Danh sách IP được **ghi đè toàn bộ**, không phải thêm dồn. Muốn bổ sung một dải, hãy giữ nguyên các dải cũ trong ô và thêm dải mới sau dấu phẩy. + +--- + +## Xóa một IP whitelist + +1. Tick chọn một hoặc nhiều dòng ở cột checkbox (tick ô trên header để chọn toàn bộ trang hiện tại). +2. Nhấn **Delete** trên thanh công cụ. +3. Đối chiếu danh sách tên whitelist trong hộp thoại, sau đó nhấn **Delete** để xác nhận. + +Các mục được xóa song song và mỗi mục có thông báo kết quả riêng, nên nếu một mục lỗi thì các mục còn lại vẫn được xóa. + +{% hint style="warning" %} +Thao tác xóa **không thể hoàn tác**. Nếu chỉ muốn tạm ngưng một quy tắc, hãy tắt công tắc **Enabled** thay vì xóa. +{% endhint %} + +--- + +## Triển khai an toàn — tránh tự khóa tài khoản + +Bật một whitelist không chứa IP hiện tại của bạn có thể khiến bạn — và cả Root user — không đăng nhập lại được. Quy trình dưới đây giúp bạn kiểm soát rủi ro đó: + +1. Xác định **IP public hiện tại** của bạn trước khi tạo quy tắc. +2. Tạo whitelist với **Enabled immediately** ở trạng thái **bỏ tick**, sau đó kiểm tra lại danh sách IP và Scope. +3. Bổ sung sẵn các dải mạng dự phòng (VPN công ty, văn phòng thứ hai) vào cùng một whitelist. +4. Bật whitelist, rồi mở một trình duyệt hoặc phiên ẩn danh khác để thử đăng nhập **trước khi** đóng phiên đang có. +5. Với IP động của nhà mạng, dùng CIDR đủ rộng thay vì IP đơn để tránh bị chặn khi IP thay đổi. + +{% hint style="warning" %} +Nếu tất cả người dùng đã bị chặn, không còn cách tự khôi phục trên Portal — hãy liên hệ đội hỗ trợ 24/7 của GreenNode để được xử lý. +{% endhint %} + +--- + +## Xử lý sự cố + +| Hiện tượng | Nguyên nhân thường gặp | Cách xử lý | +|---|---|---| +| Nút **Save** không sáng | Form còn trường không hợp lệ, chưa chọn Scope nào, hoặc (khi sửa) chưa thay đổi gì | Kiểm tra dòng gợi ý màu đỏ dưới từng ô và tick ít nhất một Scope | +| Dòng gợi ý ô IP chuyển đỏ | Có mục sai định dạng | Kiểm tra dấu phẩy và prefix CIDR (IPv4: 0–32, IPv6: 0–128); tối đa 10 mục | +| Thông báo *Failed* khi lưu | Lỗi trả về từ API (trùng tên, thiếu quyền, mất kết nối) | Đọc nội dung lỗi trong thông báo và thử lại | +| Tìm kiếm không ra kết quả | Từ khóa chỉ khớp trên tên, IP/CIDR và mô tả | Nhấn biểu tượng reload để xóa bộ lọc | +| Bảng danh sách trống dù tài khoản có whitelist | IAM user chưa được cấp quyền xem | Kiểm tra Policy đang gắn cho user hoặc group của bạn | +| Không đăng nhập được sau khi bật | IP hiện tại không nằm trong whitelist đang bật | Nhờ người còn truy cập được tắt quy tắc, hoặc liên hệ hỗ trợ 24/7 | + +--- + +## Kết quả + +Sau khi hoàn thành, tài khoản của bạn chỉ chấp nhận đăng nhập từ các dải mạng đã khai báo, theo đúng nhóm người dùng bạn chọn. Bạn có thể bật, tắt hoặc điều chỉnh danh sách IP bất cứ lúc nào mà không ảnh hưởng đến các cấu hình IAM khác. + +| Tôi muốn tiếp theo... | Đi đến | +|---|---| +| Siết thêm chính sách mật khẩu và thời gian phiên làm việc | [Chính sách mật khẩu & thời gian phiên làm việc](chinh-sach-mat-khau-and-thoi-gian-phien-lam-viec.md) | +| Xem lại các khuyến nghị bảo mật cho IAM | [Security for IAM](security-for-iam.md) | +| Kiểm tra ai đã thay đổi cấu hình IP Whitelist | [Quản lý Audit Logs](quan-ly-audit-logs.md) | +| Phân quyền cho IAM user quản lý IP Whitelist | [Quản lý truy cập qua Policy](quan-ly-truy-cap-iam/quan-ly-truy-cap-qua-policy/) |