Cette rubrique décrit les règles relatives à la sécurité dans les politiques du service Elastic Desktop Service (EDS).
Contexte
Les règles de sécurité incluses dans les politiques des ordinateurs cloud sont les suivantes :
Contrôle de la connexion utilisateur : contrôle de la méthode de connexion et liste d'autorisation de plages CIDR.
Sécurité de l'affichage : anti-capture d'écran et filigrane.
Contrôle du presse-papiers : granularité de gestion et autorisations de copie.
Sécurité des données : transfert de fichiers, transfert de fichiers via le client web et contrôle du transfert à pleine vitesse.
Accès au réseau : contrôle des groupes de sécurité et contrôle d'accès par nom de domaine.
Audit de l'enregistrement d'écran.
Gestion des images : réinitialisation de l'image.
Snapshots personnalisés par l'utilisateur final.
Contrôle de la connexion utilisateur
Cas d'utilisation
-
La règle Logon Method Control restreint les types de clients Alibaba Cloud Workspace que les utilisateurs finaux peuvent utiliser pour se connecter à leurs ordinateurs cloud.
Exemple : Pour renforcer la sécurité des informations de l'entreprise, un administrateur configure la règle afin d'autoriser les connexions uniquement depuis le Windows client, le macOS client.
Si un utilisateur final reçoit un message indiquant que l'administrateur a bloqué la demande de connexion à l'ordinateur cloud actuel, cela signifie que le type de client utilisé n'est pas autorisé par la règle Logon Method Control. Dans la console, accédez à Operations Management > Policies > Modify policy > User Logon Control > Logon Method Control, puis sélectionnez le type de client utilisé par l'utilisateur final. Après avoir modifié la politique, l'utilisateur final doit quitter le client et se reconnecter pour que la modification prenne effet.
-
La règle CIDR Block Whitelist restreint les plages d'adresses IP depuis lesquelles les clients Alibaba Cloud Workspace peuvent se connecter aux ordinateurs cloud.
Exemple : Pour renforcer la sécurité, un administrateur ajoute la plage d'adresses IP du réseau de l'entreprise à une liste d'autorisation. Cela garantit que les employés ne peuvent se connecter à leurs ordinateurs cloud que depuis le bureau, en bloquant l'accès depuis d'autres emplacements.
Paramètres
Parameter | Description |
Logon method control | Restreint les types de clients Alibaba Cloud Workspace que les utilisateurs finaux peuvent utiliser. Les options disponibles sont les suivantes :
Par défaut, toutes les options sont sélectionnées. Vous pouvez désélectionner les types de clients selon vos besoins. |
Cidr block allowlist | Spécifie les plages d'adresses IP depuis lesquelles les clients Alibaba Cloud Workspace peuvent se connecter aux ordinateurs cloud. Cliquez sur Add CIDR Block. Dans la boîte de dialogue Add CIDR Block, saisissez une Source CIDR Block autorisée, puis cliquez sur OK. La plage d'adresses IP doit être une plage CIDR. Par exemple : |
Sécurité de l'affichage
Cas d'utilisation
-
La fonctionnalité Anti-screenshot permet d'éviter les fuites de données causées par des captures ou des enregistrements d'écran.
Exemple : un cabinet d'architecture active la règle anti-capture d'écran sur ses ordinateurs cloud pour empêcher la copie non autorisée de plans de conception. Par conséquent, il est impossible d'utiliser des outils de capture d'écran sur les appareils locaux pour prendre des captures ou enregistrer l'écran de l'ordinateur cloud.
-
La fonctionnalité Watermark sert à prévenir la perte de données, en agissant à la fois comme mesure dissuasive et outil d'audit.
Exemple : une agence publicitaire active les filigranes sur ses ordinateurs cloud. Lorsqu'un employé effectue une capture d'écran d'un document interne, l'image est superposée avec un filigrane défini par l'administrateur. Cette mesure décourage efficacement les fuites de fichiers internes et fournit une piste d'audit cruciale en cas de violation de données.
Applicabilité
|
Fonctionnalité |
Version d'image minimale |
Client et version minimale |
|
Anti-screenshot |
N/A |
Windows client et macOS client V5.2 |
|
Intensité du filigrane invisible |
1.8.0 |
N/A |
|
Filigrane invisible avec anti-photographie |
1.8.0 |
Tout client V6.7 |
Paramètres
Paramètre | Description |
Anti-screenshot | Cette fonctionnalité permet d'éviter les fuites de données. Lorsqu'elle est activée, les utilisateurs finaux ne peuvent pas utiliser d'outils de capture d'écran sur leurs appareils locaux pour prendre des captures ou enregistrer l'écran de l'ordinateur cloud. Remarque
|
Watermark | Cette fonctionnalité sert à prévenir la perte de données, en agissant comme mesure dissuasive et outil d'audit. Filigrane visibleUn filigrane visible est une superposition discernable à l'écran. Vous pouvez configurer son contenu et son style d'affichage.
Lors de la configuration, vous pouvez voir un aperçu en temps réel du filigrane visible dans la zone d'aperçu ci-dessous. Filigrane invisibleUn filigrane invisible n'est pas discernable à l'œil nu. L'algorithme par défaut fourni par Elastic Desktop Service (EDS) chiffre les informations du filigrane en fonction des différentes identités de compte Alibaba Cloud pour empêcher toute falsification malveillante. Les paramètres des filigranes invisibles incluent :
|
Consulter les journaux de transfert
Pour obtenir des informations sur la consultation des enregistrements détaillés des transferts de fichiers, consultez Afficher les journaux de transfert de fichiers.
Sécurité des données
Applicabilité
Mappage de disque local
-
Contrôle du presse-papiers :
Aucune condition préalable n'est requise pour le transfert de texte et d'images.
Les transferts de fichiers nécessitent le client Windows V7.3 ou une version ultérieure.
Un contrôle granulaire nécessite la version 2.4 ou ultérieure de l'image du cloud computer. Dans le cas contraire, toutes les opérations de copie sont bloquées.
Transfert de fichiers via le client Web : même si cette option est définie sur Allow Upload/Download, la politique ne s'applique pas aux cloud computers basés sur Linux qui utilisent le protocole HDX. Pour activer les transferts de fichiers sur ces cloud computers, vous devez utiliser la politique système par défaut, qui active toutes les fonctionnalités.
Paramètres
Parameter | Description |
Local disk mapping | |
Local disk mapping |
Après avoir activé Local Disk Mapping, les disques de votre appareil local apparaissent dans l'Explorateur de fichiers du cloud computer sous forme de lecteurs mappés. Ces lecteurs mappés ne correspondent pas aux disques système du cloud computer. Pour arrêter le mappage des disques locaux, définissez Local Disk Mapping sur Close dans la politique. La politique système par défaut Pour vérifier la valeur effective actuelle de Local Disk Mapping, connectez-vous à la console Elastic Desktop Service, accédez à O&M Management > Policies, cliquez sur le nom de la politique cible pour accéder à sa page de détails, puis vérifiez la valeur actuelle de Local Disk Mapping dans la section Peripheral Management > Disk Mapping. La valeur affichée est Read-only, Close ou Read/Write, correspondant aux trois modes décrits ci-dessus. |
Clipboard control | |
Management granularity | Ce paramètre détermine la portée des paramètres d'autorisation du presse-papiers. Les options disponibles sont les suivantes :
|
Text copy permission | Définit les autorisations du presse-papiers par type de données. Les options disponibles sont les suivantes :
|
Rich text/image copy permission | |
File/folder copy permission | |
Maximum text copy size | Définit la taille maximale pour le texte copié. Le texte dépassant cette limite est tronqué. |
Data security | |
Web client file transfer | Contrôle si les fichiers peuvent être transférés entre un cloud computer et un appareil local à l'aide du Web client. |
Accès réseau
Contrôle d'accès par nom de domaine
Une règle de contrôle d'accès par nom de domaine autorise ou refuse l'accès à des domaines spécifiques depuis un ordinateur cloud. Par exemple, pour se conformer aux réglementations de l'entreprise, un administrateur peut ajouter des domaines liés au divertissement à une liste de blocage afin d'empêcher les employés d'accéder à des sites non professionnels pendant les heures de travail.
Cas d'utilisation
Par défaut, l'accès à tous les domaines est autorisé depuis un ordinateur cloud. Le contrôle d'accès par nom de domaine permet d'autoriser ou de refuser l'accès à des domaines spécifiques et prend en charge un contrôle granulaire et multiniveau de l'accès aux domaines.
Exemple : pour les domaines répertoriés dans le tableau suivant, vous pouvez configurer des règles DNS afin d'obtenir un contrôle d'accès précis.
Domaine | Exemple | Stratégie d'accès | Description |
Domaine de deuxième niveau |
| Autoriser | Lorsque l'ordinateur cloud accède à |
Domaine de troisième niveau |
| Refuser | Lorsque l'ordinateur cloud accède à |
| Autoriser | Lorsque l'ordinateur cloud accède à | |
Domaine de quatrième niveau |
| Refuser | Lorsque l'ordinateur cloud accède à |
| Autoriser | Lorsque l'ordinateur cloud accède à | |
| Autoriser |
Limites
-
Limites relatives aux domaines
Afin de garantir que les utilisateurs finaux puissent utiliser leurs ordinateurs cloud correctement, les domaines de sécurité réservés suivants ne sont pas soumis aux règles DNS. L'accès à ces domaines est toujours autorisé. Si vous définissez la stratégie d'accès de ces domaines sur Refuser, la règle ne prendra pas effet.
*.gws.aliyun*.aliyun.com*.alicdn.com*.aliyunpds.com*.aliyuncds.com*.aliyuncs.com
-
Limites relatives au système d'exploitation
Les règles de contrôle d'accès par nom de domaine s'appliquent uniquement aux ordinateurs cloud exécutant le système d'exploitation Windows.
-
Limite du nombre de règles
Vous pouvez créer jusqu'à 300 règles DNS.
Paramètres
Dans la section Domain Name Access Control (Formerly DNS Feature), cliquez sur Add Rule. Dans la boîte de dialogue Add Rule, configurez les paramètres suivants et cliquez sur OK.
Paramètre | Description |
Nom de domaine | Saisissez le nom de domaine pour lequel vous souhaitez définir des règles DNS. Vous ne pouvez ajouter qu'un seul nom de domaine à la fois. Le caractère générique |
Description | Description personnalisée de la règle DNS. |
Stratégie d'accès | Sélectionnez Allow ou Reject. Remarque
|
Contrôle par groupe de sécurité
Un groupe de sécurité est un mécanisme de sécurité qui contrôle le trafic entrant et sortant d'un ordinateur cloud afin d'améliorer sa sécurité.
Cas d'utilisation
Une règle de groupe de sécurité est définie par des propriétés telles que la direction, la stratégie, la priorité, le type de protocole et la plage de ports. Avant d'établir une communication de données avec un ordinateur cloud, le système évalue la demande par rapport aux règles du groupe de sécurité dans la politique associée pour déterminer s'il faut accorder l'accès :
Pour les règles dont la stratégie est Autoriser, si la demande d'accès correspond à la règle, la demande est autorisée.
Pour les règles dont la stratégie est Refuser, si la demande d'accès correspond à la règle, la demande est bloquée et le paquet de données est immédiatement supprimé.
Vous pouvez ajouter des règles de contrôle de groupe de sécurité entrantes ou sortantes pour mieux contrôler le trafic de vos ordinateurs cloud. Voici des exemples de configuration pour les règles de contrôle de groupe de sécurité :
Scénario 1
Par défaut, tout accès sortant depuis un ordinateur cloud est autorisé. Vous pouvez ajouter les règles sortantes suivantes pour autoriser l'accès uniquement à des adresses IP spécifiques :
-
Règle 1 : Refuser tout accès sortant. Exemple :
Direction
Stratégie
Priorité
Type de protocole
Plage de ports
Objet d'autorisation
Sortant
Refuser
2
Tous
-1/-1
0.0.0.0/0
-
Règle 2 : Autoriser l'accès à une adresse IP spécifique. La priorité de cette règle doit être supérieure à celle de la Règle 1. Exemple :
Direction
Stratégie
Priorité
Type de protocole
Plage de ports
Objet d'autorisation
Sortant
Autoriser
1
Sélectionnez le type de protocole applicable.
Définissez une plage de ports appropriée.
L'adresse IP à laquelle l'accès est autorisé, par exemple : 192.168.1.1/32.
Scénario 2
Dans un environnement VPC, vous pouvez ajouter une règle entrante pour autoriser l'accès depuis une adresse IP spécifique vers l'ordinateur cloud. Exemple :
|
Direction |
Stratégie |
Priorité |
Type de protocole |
Plage de ports |
Objet d'autorisation |
|
Entrant |
Autoriser |
1 |
Sélectionnez le type de protocole applicable. |
Définissez une plage de ports appropriée. |
L'adresse IP depuis laquelle l'accès est autorisé, par exemple : 192.168.1.1/32. |
Scénario 3
Supposons que l'ordinateur cloud A soit associé à la politique A et que l'ordinateur cloud B soit associé à la politique B. Dans un environnement VPC, l'ordinateur cloud A et l'ordinateur cloud B ne peuvent pas communiquer entre eux car tout accès entrant est refusé par défaut. Vous pouvez ajouter les règles entrantes suivantes aux politiques A et B pour activer la communication réseau entre eux :
-
Dans la politique A, ajoutez une règle entrante pour autoriser l'accès depuis l'ordinateur cloud B. Exemple :
Direction
Stratégie
Priorité
Type de protocole
Plage de ports
Objet d'autorisation
Entrant
Autoriser
1
Sélectionnez le type de protocole applicable.
Définissez une plage de ports appropriée.
Adresse IP de l'ordinateur cloud B.
-
Dans la politique B, ajoutez une règle entrante pour autoriser l'accès depuis l'ordinateur cloud A. Exemple :
Direction
Stratégie
Priorité
Type de protocole
Plage de ports
Objet d'autorisation
Entrant
Autoriser
1
Sélectionnez le type de protocole applicable.
Définissez une plage de ports appropriée.
Adresse IP de l'ordinateur cloud A.
Limites
-
Limite du nombre de règles
Vous pouvez créer jusqu'à 200 règles de contrôle de groupe de sécurité.
-
Limites relatives aux règles entrantes
Par défaut, un ordinateur cloud autorise tout accès sortant. L'accès entrant suit les principes suivants :
Sur Internet, un ordinateur cloud ne prend en charge aucun accès entrant. Même si vous définissez une règle de groupe de sécurité entrante sur Autoriser, la règle ne prend pas effet.
Dans un environnement VPC, un ordinateur cloud refuse par défaut tout accès entrant. Toutefois, vous pouvez définir une règle de groupe de sécurité entrante sur Autoriser pour permettre des demandes d'accès spécifiques.
Paramètres
Dans la section Security Group Control, cliquez sur Add Rule. Dans la boîte de dialogue Add Rule, configurez les paramètres suivants et cliquez sur OK.
Paramètre | Description |
Direction |
|
Stratégie |
|
Priorité | Valeur comprise entre 1 et 60, où une valeur plus petite indique une priorité plus élevée. Les règles de priorité plus élevée sont prioritaires. |
Type de protocole | TCP, UDP, ICMP (IPv4) et GRE sont pris en charge. |
Plage de ports | Port utilisé par l'application ou le protocole. Lorsque le type de protocole sélectionné est Custom TCP ou Custom UDP, vous pouvez définir un port personnalisé. Vous pouvez saisir un port spécifique, tel que |
Objet d'autorisation | Plage d'adresses IPv4 au format CIDR. |
Description | Description personnalisée de la règle. |
Étapes suivantes
Par défaut, les ordinateurs cloud refusent tout trafic entrant mais autorisent tout trafic sortant. Cette configuration est gérée par une règle par défaut qui autorise tout accès sortant. Les règles sortantes que vous ajoutez entreront en conflit avec la règle par défaut. Selon le office network auquel votre ordinateur cloud appartient, vous devrez peut-être ajuster la priorité de la règle par défaut pour que vos nouvelles règles prennent effet.
Si vous utilisez un nouveau office network (format d'ID :
region ID+dir+10 digits), la règle par défaut a la priorité la plus basse, donc les règles que vous ajoutez prendront effet immédiatement sans étapes supplémentaires.-
Si vous utilisez un office network qui a été mis à niveau depuis une version antérieure (format d'ID :
region ID+dir+17 letters and digits), la règle par défaut a la priorité la plus élevée. Vous devez ajuster manuellement la priorité de la règle par défaut. Pour ce faire, effectuez les étapes suivantes :Recherchez le office network auquel l'ordinateur cloud appartient et cliquez sur son office network ID.
Sur la page des détails du office network, cliquez sur l'ID du groupe de sécurité.
Sur la page Security Groups, cliquez sur l'ID du groupe de sécurité.
-
Sur la page Security Group Rules, cliquez sur l'onglet Outbound et modifiez la priorité de la règle correspondante.
Nous vous recommandons de définir la priorité sur 60. Cela garantit que toutes les règles sortantes que vous ajoutez manuellement prendront effet immédiatement.
Snapshots personnalisés par l'utilisateur final
Snapshots personnalisés par l'utilisateur final
La règle relative aux snapshots personnalisés par l'utilisateur final vous permet de contrôler si les utilisateurs finaux peuvent créer leurs propres points de restauration dans le client.
Cas d'utilisation
Les utilisateurs finaux peuvent utiliser les points de restauration pour sauvegarder et restaurer les données sur leurs ordinateurs cloud. Par exemple, ils peuvent créer un point de restauration avant d'effectuer des opérations à haut risque, telles que la modification de fichiers système critiques.
Afin de prévenir les erreurs opérationnelles ou le gaspillage de ressources, les administrateurs peuvent utiliser cette politique pour gérer la création de points de restauration personnalisés par les utilisateurs finaux.
Limites
Cette fonctionnalité est disponible uniquement lorsqu'un ordinateur cloud est attribué à un seul utilisateur.
Paramètres
Lorsque l'option End-user custom snapshots est Enabled, les utilisateurs finaux peuvent créer des points de restauration personnalisés sur la page Management de la carte du bureau de leur ordinateur cloud.
Lorsque l'option End-user custom snapshots est Disabled, la fonctionnalité de point de restauration personnalisé est masquée pour les utilisateurs finaux sur la page Management.
FAQ
Pourquoi le copier-coller reste-t-il indisponible après avoir activé Allow Two-way Copy ?
La fonctionnalité du presse-papiers peut être affectée par les logiciels de sécurité des terminaux ou les politiques de sécurité sur l'appareil local. Si le copier-coller entre l'ordinateur cloud et l'appareil local reste indisponible après avoir activé Allow Two-way Copy dans la politique de l'ordinateur cloud, vérifiez si les logiciels de sécurité locaux ou les politiques restreignent l'accès au presse-papiers. Après avoir mis à jour les paramètres de sécurité sur l'appareil local, testez à nouveau le copier-coller.