Elastic Compute Service:Avoid using preset logon credentials in custom images

Vérification des instances non conformes

Connectez-vous à une instance Linux à l'aide de Workbench pour effectuer les vérifications suivantes.

• Vérifiez la présence de comptes d'utilisateurs suspects : Consultez le fichier /etc/passwd pour identifier les utilisateurs inconnus que vous n'avez pas créés ou qui ne sont pas des utilisateurs système par défaut.

  cat /etc/passwd

• Vérifiez les clés publiques autorisées SSH : Examinez les fichiers authorized_keys situés dans des emplacements système critiques pour voir quelles clés publiques sont configurées pour une connexion sans mot de passe.

  # Check the authorized public keys for the root user.
  cat /root/.ssh/authorized_keys
  
  # Check the authorized public keys for another user, such as 'admin'.
  cat /home/admin/.ssh/authorized_keys

  Examinez attentivement les clés publiques présentes dans les fichiers afin de vous assurer qu'elles correspondent aux clés privées que vous utilisez. Supprimez immédiatement toute clé publique suspecte ou non reconnue.

Blocage : Empêcher l'utilisation de mots de passe prédéfinis

Au niveau de l'organisation ou du compte, utilisez une politique RAM pour bloquer proactivement la création d'instances utilisant le mot de passe prédéfini d'une image.

• Pour les utilisateurs professionnels :

  1. Connectez-vous à la console Resource Directory à l'aide de votre compte Alibaba Cloud. Dans le volet de navigation de gauche, cliquez sur Control Policies. Ensuite, créez une politique d'autorisation personnalisée avec le contenu JSON suivant.

     Cette politique refuse l'autorisation d'hériter du mot de passe par défaut d'une image lors de la création d'une instance ou du remplacement d'un disque système.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordInherit": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. Dans Resource Directory, associez la politique au nœud approprié. La politique est alors appliquée à tous les comptes sous ce nœud.

• Pour les utilisateurs non professionnels :

  1. Connectez-vous à la console RAM à l'aide de votre compte Alibaba Cloud. Dans le volet de navigation de gauche, cliquez sur Permission Policy et créez une politique personnalisée avec le même contenu que dans la section précédente.

  2. Accordez des autorisations en associant des politiques aux utilisateurs RAM, aux groupes d'utilisateurs RAM ou aux rôles RAM.

Correction : Réparer les instances avec des mots de passe prédéfinis

1. Définissez de nouveaux identifiants de connexion

   • Instances Linux : Associez une nouvelle paire de clés

     1. Accédez à la page ECS console - Instances, sélectionnez une région et un groupe de ressources, puis cliquez sur l'ID de l'instance cible pour ouvrir sa page de détails.

     2. Cliquez sur All Operations > Bind Key Pair, sélectionnez une paire de clés existante, puis cliquez sur OK. La nouvelle paire de clés prend effet après le redémarrage de l'instance.

   • Instances Windows : Réinitialisez le mot de passe

     1. Accédez à la page ECS console - Instances, sélectionnez une région et un groupe de ressources, puis cliquez sur l'ID de l'instance cible pour accéder à sa page de détails.

     2. Cliquez sur All Operations > Reset Password, définissez un mot de passe robuste comme indiqué, puis cliquez sur OK.

2. Supprimez les identifiants prédéfinis d'origine (Linux)

   1. Connectez-vous à l'instance ECS avec vos nouveaux identifiants. Utilisez la nouvelle paire de clés ou le nouveau mot de passe que vous venez de configurer.

   2. Supprimez les anciennes clés publiques : Inspectez attentivement tous les fichiers authorized_keys et effacez toutes les anciennes clés publiques.

      # Edit the authorized_keys file for the root user and delete all unwanted public keys.
      vi /root/.ssh/authorized_keys
      
      # Perform the same operation for all other users.
      vi /home/<username>/.ssh/authorized_keys

   3. Désactivez l'authentification par mot de passe : Après avoir confirmé que vous pouvez vous connecter avec succès à l'aide de la paire de clés, modifiez la configuration SSH pour désactiver l'authentification par mot de passe. Cela garantit que seule l'authentification par paire de clés est autorisée.

      # 1. Edit the SSH configuration file.
      sudo vi /etc/ssh/sshd_config
      
      # 2. Find and modify the following lines.
      PasswordAuthentication no
      PubkeyAuthentication yes
      
      # 3. Restart the SSH service for the changes to take effect.
      sudo systemctl restart sshd

3. Nettoyez les utilisateurs et fichiers système inutiles

   Consultez les fichiers /etc/passwd et /etc/shadow pour supprimer tous les comptes d'utilisateurs inutiles laissés par le processus de création de l'image. Supprimez également tous les fichiers temporaires ou scripts susceptibles de contenir des informations sensibles, telles que d'anciens mots de passe ou clés.