Utilisez Bastionhost pour établir un point d'entrée unique pour les opérations et la maintenance (O&M), appliquer des contrôles d'accès granulaires et auditer l'intégralité des opérations. Cette approche vous aide à sécuriser vos instances ECS et à satisfaire aux exigences fondamentales en matière d'authentification, de contrôle d'accès et d'audit des opérations définies par le niveau 3 de la norme MLPS 2.0.
Risques de sécurité
Les méthodes traditionnelles d'O&M, telles que l'accès direct aux serveurs depuis Internet ou les réseaux d'entreprise via SSH ou RDP, engendrent plusieurs risques difficiles à maîtriser :
Utilisateurs non identifiés et abus de privilèges : L'utilisation de comptes locaux ou partagés sur le serveur, tels que root ou Administrator, empêche toute traçabilité des actions vers un opérateur spécifique. Si les identifiants d'un compte à hauts privilèges sont compromis, un attaquant peut obtenir un accès illimité et exécuter des actions malveillantes sans que vous puissiez identifier le responsable.
Angles morts opérationnels : En l'absence d'outils d'audit dédiés, les actions effectuées directement sur un serveur ne sont souvent pas entièrement enregistrées. En cas d'incident de sécurité, l'absence de journaux d'opération détaillés ou d'enregistrements de session rend impossible la détermination des responsabilités, l'analyse du vecteur d'attaque ou l'évaluation de l'étendue des dommages.
Gestion désorganisée des identifiants et risque de fuite : La gestion de centaines ou de milliers de serveurs oblige souvent les opérateurs à mémoriser de nombreux mots de passe et clés. Cela peut conduire à des pratiques peu sûres, comme l'utilisation de mots de passe faibles ou réutilisés, ou le stockage des identifiants dans des emplacements non sécurisés, augmentant considérablement le risque de fuite d'identifiants.
Terrain propice aux mouvements latéraux : Si un attaquant compromet un serveur de rebond ou le PC d'un opérateur et obtient un accès direct à un serveur, il peut utiliser ce serveur comme point d'appui pour se déplacer latéralement au sein de votre réseau interne, compromettant potentiellement des systèmes plus critiques.
Fuite de données sensibles : Des canaux d'O&M non contrôlés permettent aux opérateurs ou aux attaquants de télécharger facilement des données sensibles via des transferts de fichiers ou des exports de base de données, entraînant des violations de données.
Bonnes pratiques
Utilisez Bastionhost pour gérer centralement vos ressources d'instances ECS et configurez un groupe de sécurité afin de restreindre l'accès système aux connexions provenant uniquement de Bastionhost. Cela vous permet de gérer centralement les comptes et les autorisations d'O&M et d'auditer toutes les opérations.
-
Planifiez et déployez Bastionhost
Accédez à la page d'achat de Bastionhost, sélectionnez une spécification adaptée, puis activez l'instance dans la console Bastionhost. Pour des instructions détaillées, consultez la rubrique Achat et connexion à une instance Bastionhost.
-
Politique d'accès réseau par refus par défaut
Appliquez une règle au niveau du réseau pour acheminer tout le trafic d'O&M via Bastionhost.
Créez un groupe de sécurité dédié : Créez ou planifiez un groupe de sécurité pour vos instances ECS. Par défaut, ses règles entrantes doivent refuser tout accès externe, en particulier pour les ports SSH (port 22) et RDP (port 3389).
-
Configurez des règles d'exception pour autoriser l'accès : Dans le groupe de sécurité, ajoutez une règle entrante qui autorise le trafic uniquement depuis l'adresse IP de sortie de votre Bastionhost vers les ports d'O&M des instances ECS cibles, tels que 22 ou 3389.
-
Exemple de règle :
Action : Autoriser
Priorité : 1 (la plus élevée)
Protocole : TCP
Source : Saisissez l'adresse IP de sortie de Bastionhost. Par exemple, 47 100.XX.XX/32.
Destination : 22/22 (SSH) ou 3389/3389 (RDP)
Le groupe de sécurité autorise uniquement l'adresse 47 100.XX.XX/32 (l'adresse IP de sortie de Bastionhost) à accéder au port 22 des serveurs du groupe.
-
-
Gérez centralement les ressources et les identités
-
Importez les ressources : Dans la console Bastionhost, importez les ressources que vous devez gérer, telles que les instances ECS, les bases de données et les applications, pour une gestion unifiée.
Pour plus d'informations, consultez la rubrique Création d'un nouvel hôte.
-
Intégrez les sources d'identité :
Créez des utilisateurs Bastionhost pour vous connecter à Bastionhost et effectuer des opérations sur les ressources. Pour plus d'informations, consultez la rubrique Gestion des utilisateurs.
Pour les entreprises disposant d'un système d'authentification établi, nous recommandons d'intégrer Bastionhost à votre source d'identité existante, telle que les utilisateurs RAM, AD/LDAP, ou de connecter des services comme DingTalk et WeCom via une solution Identity as a Service (IDaaS) pour permettre une gestion unifiée des identités. Consultez la rubrique Bonnes pratiques en matière d'authentification.
-
-
Configurez les politiques de contrôle d'accès
Autorisation des utilisateurs et des ressources : Suivez le principe du moindre privilège. Accordez à chaque utilisateur Bastionhost l'accès uniquement aux ressources dont il a besoin. Par exemple, les développeurs peuvent uniquement accéder aux serveurs de l'environnement de développement, et les administrateurs de base de données uniquement aux serveurs de base de données. Consultez la rubrique Attribution d'autorisations sur les ressources et les comptes de ressource à un utilisateur.
Configurez des politiques de contrôle granulaires : Utilisez la fonctionnalité de politique de contrôle dans Bastionhost pour un contrôle plus fin. Vous pouvez empêcher certains utilisateurs d'exécuter des commandes à haut risque (telles que
rm -rf), définir des limites sur le type et la taille des transferts de fichiers, et activer l'approbation par deux personnes pour les opérations sensibles. Consultez la rubrique Configuration d'une politique de contrôle.