Elastic Compute Service:Évitez d'utiliser des mots de passe faibles pour la connexion aux instances

Instances Linux

Nous vous recommandons d'utiliser l'authentification par paire de clés, qui est plus sécurisée que l'authentification par mot de passe.

Instances Windows

Nous vous recommandons d'utiliser une authentification par mot de passe robuste. L'authentification par paire de clés n'est pas prise en charge pour les instances Windows.

Lorsque vous créez une instance sur la page d'achat d'instance, définissez Logon Credential sur Password. Ensuite, suivez les instructions pour définir un Logon Password robuste :

• Créez un mot de passe robuste qui répond aux exigences suivantes :

  • Il doit comporter au moins 8 caractères.

  • Il doit contenir au moins trois des types de caractères suivants : lettres majuscules (A–Z), lettres minuscules (a–z), chiffres (0–9) et caractères spéciaux (~, !, @, $, %, ^, &, *, -, _, =, +, #, /, ?).

  • Il ne doit pas correspondre au nom d'utilisateur ni au nom d'utilisateur écrit à l'envers.

• N'utilisez pas de mots de passe faibles courants ou publiquement connus. Voici des exemples de mots de passe faibles :

  • Mots de passe faibles couramment connus, tels que abcd1234, admin, root ou admin@123.

  • Caractères séquentiels ou motifs clavier, tels que 123456, abcdef, 123abc, qwerty ou 1qaz2wsx.

  • Expressions courantes, telles que 5201314 ou woaini1314.

  • Informations personnelles, telles que le nom de l'entreprise, la date de naissance, le nom, le numéro d'identification, le numéro de téléphone, l'adresse e-mail, l'ID utilisateur ou l'année.

• Nous vous recommandons de changer votre mot de passe tous les 90 jours.

Vérification : Instances Linux sans authentification par paire de clés

Blocage : Interdire l'authentification par mot de passe pour les instances Linux

Utilisez une politique RAM (Resource Access Management) au niveau de l'organisation ou du compte pour bloquer proactivement les actions qui définissent des mots de passe pour les instances Linux.

• Pour les utilisateurs professionnels :

  1. Connectez-vous à la console Resource Directory avec votre compte Alibaba Cloud. Dans le volet de navigation de gauche, cliquez sur Control Policies, puis créez une politique de contrôle personnalisée. Collez le contenu JSON suivant.

     Cette politique refuse l'utilisation de l'authentification par mot de passe lors de la création d'une instance, de l'attachement ou du remplacement d'un disque système, de la modification des attributs d'instance ou de la réinitialisation d'un mot de passe.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     },
                     "StringEquals": {
                         "ecs:ImagePlatform": "linux"
                     }
                 },
                 "Effect": "Deny"
             },
             {
                 "Action": [
                     "ecs:ModifyInstanceAttribute",
                     "ecs:InvokeCommand",
                     "ecs:AttachDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. Dans Resource Directory, associez la politique de contrôle au nœud approprié. La politique bloque ces actions pour les comptes situés sous ce nœud.

• Pour les utilisateurs non professionnels :

  1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud. Dans le volet de navigation de gauche, cliquez sur Permission Policy. Créez une politique d'autorisation personnalisée avec le même contenu JSON que celui fourni ci-dessus.

  2. Accordez des autorisations à un utilisateur RAM, à un groupe d'utilisateurs RAM ou à un rôle RAM en associant la politique d'autorisation personnalisée.

Correction : Basculer les instances vers la connexion par paire de clés

Si vous constatez que des instances Linux existantes utilisent l'authentification par mot de passe, basculez-les vers l'authentification par paire de clés.

1. Associez une paire de clés : associez une paire de clés existante ou créez une nouvelle paire de clés et associez-la.

   Après avoir attaché la paire de clés, vérifiez que vous pouvez vous connecter à l'instance avec celle-ci.

2. Désactivez la connexion par mot de passe : Connectez-vous à l'instance et exécutez le script suivant pour modifier le fichier de configuration du service SSH.

   #!/bin/bash
   # Back up the original configuration file.
   cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak_$(date +%F)
   # Disable password authentication: Change the PasswordAuthentication parameter to no.
   sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   # Restart the SSH service for the changes to take effect.
   # The command can be sshd or ssh, depending on the operating system.
   systemctl restart sshd || service sshd restart

3. Vérifiez le résultat : Redémarrez l'instance. Vérifiez que la connexion par mot de passe échoue et que la connexion par paire de clés réussit.