WUYING Workspace network security | Security groups, domain control, encryption - Elastic Desktop Service

01 Accès réseau

1,1 Politiques de groupe de sécurité

Elastic Desktop Service (EDS) Enterprise propose des politiques de contrôle par groupe de sécurité pour gérer l'accès réseau des ordinateurs cloud. Chaque politique se compose de règles similaires aux règles de groupe de sécurité Elastic Compute Service. Configurez la direction de la règle (entrante/sortante), l'action (Autoriser/Refuser), la priorité, le type de protocole, la plage de ports, l'objet d'autorisation (adresse IP ou bloc CIDR) ainsi que la description. En combinant des règles avec différentes étendues et priorités, les administrateurs peuvent mettre en œuvre un contrôle d'accès basé sur une liste d'autorisation.

Ajoutez des règles de contrôle de groupe de sécurité entrantes ou sortantes afin de mieux maîtriser le trafic de vos ordinateurs cloud. Voici quelques exemples de configuration pour ces règles :

Scénario 1

Par défaut, tout le trafic sortant depuis un ordinateur cloud est autorisé. Ajoutez les règles sortantes suivantes pour n'autoriser l'accès qu'à des adresses IP spécifiques :

Règle 1 : Refuser tout le trafic sortant. Exemple :

Direction	Politique	Priorité	Type de protocole	Plage de ports	Objet d'autorisation
Sortant	Refuser	2	Tous	-1/-1	0.0.0.0/0

Règle 2 : Autoriser l'accès à une adresse IP spécifique. La priorité de cette règle doit être supérieure à celle de la Règle 1. Exemple :

Direction	Politique	Priorité	Type de protocole	Plage de ports	Objet d'autorisation
Sortant	Autoriser	1	Sélectionnez le type de protocole applicable.	Définissez une plage de ports appropriée.	L'adresse IP à laquelle l'accès doit être autorisé, par exemple : 192.168.1.1/32.

Scénario 2

Dans un environnement VPC, ajoutez une règle entrante pour autoriser l'accès à l'ordinateur cloud depuis une adresse IP spécifique. Exemple :

Direction	Politique	Priorité	Type de protocole	Plage de ports	Objet d'autorisation
Entrant	Autoriser	1	Sélectionnez le type de protocole applicable.	Définissez une plage de ports appropriée.	L'adresse IP depuis laquelle l'accès doit être autorisé, par exemple : 192.168.1.1/32.

Scénario 3

Supposons que l'ordinateur cloud A soit associé à la Politique A et l'ordinateur cloud B à la Politique B. Dans un environnement VPC, ces deux ordinateurs ne peuvent pas communiquer entre eux car tout accès entrant est refusé par défaut. Pour activer la communication réseau entre eux, ajoutez les règles entrantes suivantes aux Politiques A et B :

Dans la Politique A, ajoutez une règle entrante pour autoriser l'accès depuis l'ordinateur cloud B. Exemple :

Direction	Politique	Priorité	Type de protocole	Plage de ports	Objet d'autorisation
Entrant	Autoriser	1	Sélectionnez le type de protocole applicable.	Définissez une plage de ports appropriée.	Adresse IP de l'ordinateur cloud B.

Dans la Politique B, ajoutez une règle entrante pour autoriser l'accès depuis l'ordinateur cloud A. Exemple :

Direction	Politique	Priorité	Type de protocole	Plage de ports	Objet d'autorisation
Entrant	Autoriser	1	Sélectionnez le type de protocole applicable.	Définissez une plage de ports appropriée.	Adresse IP de l'ordinateur cloud A.

État par défaut : Désactivé
Responsabilité de configuration : Client
Coût : Gratuit
Dépendances : Aucune
Limitations :
- Limite du nombre de règles
  Vous pouvez créer jusqu'à 200 règles de contrôle de groupe de sécurité.
- Limitations relatives aux règles entrantes
  Par défaut, un ordinateur cloud autorise tout le trafic sortant. Le trafic entrant suit les principes suivants :
  - Sur Internet, un ordinateur cloud ne prend en charge aucun accès entrant. Même si vous définissez une règle de groupe de sécurité entrante sur Autoriser, la règle ne prend pas effet.
  - Dans un environnement VPC, un ordinateur cloud refuse par défaut tout accès entrant. Toutefois, vous pouvez définir une règle de groupe de sécurité entrante sur Autoriser pour permettre des demandes d'accès spécifiques.
Référence : Contrôle de groupe de sécurité

Procédure

Connectez-vous à la console EDS enterprise.
Dans le volet de navigation de gauche, sélectionnez O&M Management > Policy.
Sur la page Policy, cliquez sur Create Policy.
Sur la page Create Policy, saisissez un Policy Name comme indiqué, configurez les paramètres de la politique selon vos besoins, puis cliquez sur OK.

Dans la section Security Group Control, cliquez sur Add Rule. Dans la boîte de dialogue Add Rule, configurez les paramètres suivants et cliquez sur OK.

Paramètre	Description
Direction	Entrant : Contrôle l'autorisation ou non des requêtes vers l'ordinateur cloud. Sortant : Contrôle l'autorisation ou non des requêtes de l'ordinateur cloud vers d'autres applications.
Politique	Autoriser : Autorise la demande d'accès. Refuser : Bloque la demande d'accès et supprime le paquet de données sans renvoyer d'information.
Priorité	Une valeur comprise entre 1 et 60, où une valeur plus faible indique une priorité plus élevée. Les règles à priorité plus élevée sont prioritaires.
Type de protocole	TCP, UDP, ICMP (IPv4) et GRE sont pris en charge.
Plage de ports	Le port utilisé par l'application ou le protocole. Lorsque le type de protocole sélectionné est Custom TCP ou Custom UDP, vous pouvez définir un port personnalisé. Vous pouvez saisir un port spécifique, tel que `80`, ou une plage de ports, telle que `1/80`. Pour plus d'informations, consultez Ports courants.
Objet d'autorisation	Une plage d'adresses IPv4 au format CIDR.
Description	Une description personnalisée de la règle.

1,2 Contrôle de nom de domaine

Elastic Desktop Service (EDS) Enterprise propose des politiques de contrôle de nom de domaine pour gérer l'accès réseau des ordinateurs cloud au niveau DNS. Chaque règle spécifie un nom de domaine et une action (Autoriser ou Refuser). La correspondance par joker (*) simplifie le contrôle des groupes de domaines connexes.

Le tableau suivant présente des exemples de règles DNS pour un contrôle d'accès granulaire aux domaines.

Domaine	Exemple	Politique d'accès	Description
Domaine de deuxième niveau	`example.com`	Autoriser	Lorsque l'ordinateur cloud accède à `example.com`, la page Web s'ouvre normalement.
Domaine de troisième niveau	`writer.examplec.com`	Refuser	Lorsque l'ordinateur cloud accède à `writer.example.com`, la page Web affiche une erreur 404.
Domaine de troisième niveau	`developer.example.com`	Autoriser	Lorsque l'ordinateur cloud accède à `developer.example.com`, la page Web s'ouvre correctement.
Domaine de quatrième niveau	`image.developer.example.com`	Refuser	Lorsque l'ordinateur cloud accède à `image.developer.example.com`, la page Web affiche une erreur 404.
	`video.developer.example.com`	Autoriser	Lorsque l'ordinateur cloud accède à `video.developer.example.com` et `guide.developer.example.com`, les pages Web s'ouvrent correctement.
	`guide.developer.example.com`	Autoriser

État par défaut : Désactivé
Responsabilité de configuration : Client
Coût : Gratuit
Dépendances : Aucune
Limitations :
- Limitations relatives aux domaines
  Pour garantir que les utilisateurs finaux puissent utiliser leurs ordinateurs cloud correctement, les domaines de sécurité réservés suivants ne sont pas soumis aux règles DNS. L'accès à ces domaines est toujours autorisé. Si vous définissez la politique d'accès de ces domaines sur Refuser, la règle ne prendra pas effet.
  - *.gws.aliyun
  - *.aliyun.com
  - *.alicdn.com
  - *.aliyunpds.com
  - *.aliyuncds.com
  - *.aliyuncs.com
- Limitations relatives au système d'exploitation
  Les règles de contrôle d'accès par nom de domaine s'appliquent uniquement aux ordinateurs cloud exécutant le système d'exploitation Windows.
- Limite du nombre de règles
  Vous pouvez créer jusqu'à 300 règles DNS.
Référence : Contrôle de nom de domaine

Procédure

Connectez-vous à la console EDS enterprise.
Dans le volet de navigation de gauche, sélectionnez O&M Management > Policy.
Sur la page Policy, cliquez sur Create Policy.
Sur la page Create Policy, saisissez un Policy Name comme indiqué, configurez les paramètres de la politique selon vos besoins, puis cliquez sur OK.

Dans la section Domain Name Access Control (Formerly DNS Feature), cliquez sur Add Rule. Dans la boîte de dialogue Add Rule, configurez les paramètres suivants et cliquez sur OK.

Paramètre	Description
Nom de domaine	Saisissez le nom de domaine pour lequel vous souhaitez définir des règles DNS. Vous ne pouvez ajouter qu'un seul nom de domaine à la fois. Le caractère joker `*` est pris en charge.
Description	Une description personnalisée de la règle DNS.
Politique d'accès	Sélectionnez Allow ou Reject. Remarque Si vous définissez plusieurs règles DNS avec une politique d'accès sur Allow, vous devez également ajouter une règle DNS avec une politique d'accès sur Deny pour servir de règle de secours. Lorsque plusieurs règles DNS existent, la règle située plus haut dans la liste est prioritaire. Vous pouvez déplacer les règles pour ajuster leur priorité.

02 Limites du réseau

2,1 Connectivité du réseau de bureau

Les ordinateurs cloud s'exécutent dans un groupe de sécurité créé automatiquement au sein du réseau de bureau (anciennement workspace), sans adresse IP publique ni port ouvert. Le groupe de sécurité bloque tout le trafic externe, à l'exception des connexions au protocole ASP provenant de la passerelle de streaming, empêchant ainsi les attaques externes d'atteindre les ordinateurs cloud. Ce mécanisme de sécurité d'Elastic Desktop Service (EDS) Enterprise ne peut pas être modifié.

Par défaut, la communication entre les ordinateurs est également bloquée, ce qui empêche les attaques latérales entre ordinateurs cloud. Les administrateurs peuvent activer la communication au sein de leur réseau de bureau si nécessaire et appliquer des politiques de contrôle réseau supplémentaires pour atténuer les risques associés.

État par défaut : Désactivé
Responsabilité de configuration : Client
Coût : Gratuit
Dépendances : Aucune
Limitations : Aucune
Référence : Activer la communication réseau entre les ordinateurs cloud dans un réseau de bureau

Procédure

Par défaut, les ordinateurs cloud au sein d'un même réseau de bureau ne peuvent pas communiquer. Pour activer cette communication, activez la fonctionnalité Interconnectivity sur la page de détails du réseau de bureau.

Dans le volet de navigation de gauche, sélectionnez Networks & Storage>Office Network.
Dans la barre de navigation supérieure, sélectionnez une région.
Sur la page Office Network, cliquez sur l'ID du réseau de bureau du réseau de bureau cible.
Dans la section Network Information de la page de détails du réseau de bureau, activez le commutateur Interconnectivity.

03 Chiffrement de la transmission

3,1 Chiffrement du protocole ASP

Les ordinateurs cloud utilisent par défaut le protocole Adaptive Streaming Protocol (ASP) propriétaire d'Alibaba Cloud. ASP chiffre toutes les données interactives en transit entre les ordinateurs cloud et les terminaux clients à l'aide de TLS, basé sur la bibliothèque cryptographique Tongsuo.

Le chiffrement couvre toutes les données de session : flux d'images, flux audio/vidéo, données du presse-papiers et événements d'entrée utilisateur. Aucune configuration supplémentaire n'est requise.

Tongsuo (anciennement BabaSSL) est une bibliothèque cryptographique open source développée par Alibaba qui prend en charge les algorithmes commerciaux chinois (SM2, SM3, SM4) et les algorithmes internationaux (ECDSA, RSA, AES, SHA). Elle est certifiée par l'Administration nationale de cryptographie de Chine.

État par défaut : Activé (ne peut pas être désactivé)
Responsabilité de configuration : Alibaba Cloud
Coût : Gratuit
Dépendances : Aucune
Limitations : Aucune
Référence : Protocole de streaming adaptatif (ASP)