Pengelolaan izin gambar/snapshot dan pencegahan pelanggaran data - Elastic Compute Service

Batasi izin ekspor dan berbagi gambar untuk mencegah paparan tidak disengaja terhadap kredensial, data pengguna, dan jejak sistem.

Risiko keamanan

Berbagi dan ekspor gambar memang meningkatkan efisiensi penerapan, tetapi juga menimbulkan risiko keamanan data. Izin yang tidak tepat atau gambar yang tidak dibersihkan dapat menyebabkan kebocoran kode inti, konfigurasi lingkungan, dan data sensitif. Misalnya, seorang karyawan dapat mengekspor gambar produksi untuk memperoleh kredensial, atau data uji sisa dan kredensial sementara dalam gambar dapat terekspos saat gambar tersebut dibagikan. Risiko spesifik meliputi:

Snapshot data statis: Gambar dan snapshot merekam kondisi lengkap suatu Instance ECS pada titik waktu tertentu, termasuk sistem operasi, file aplikasi, dan data sensitif seperti:
- Kredensial identitas: Kunci privat SSH, AccessKey API, string koneksi database, dan password aplikasi yang di-hardcode.
- Data pengguna: Kode inti perusahaan, informasi database, dan data pengguna privat.
- Jejak sistem: Riwayat perintah shell (.bash_history), file temporary, serta log dan cache aplikasi.
Risiko divergensi izin: Berbagi dan ekspor memperluas akses data dari lingkungan terkendali ke cakupan yang lebih luas dan kadang tidak terkendali. Jika gambar yang berisi informasi sensitif dibagikan ke akun yang salah atau diekspor ke lingkungan offline, data tersebut dapat disalahgunakan oleh pihak jahat.

Praktik terbaik

Pembuatan gambar

Sebelum membuat gambar, login ke instance dan hapus informasi sensitif. Jika gambar berisi kredensial logon seperti kunci SSH, kredensial tersebut akan tetap ada di instance baru yang dibuat dari gambar tersebut—meskipun Anda menyambungkan pasangan kunci baru atau menetapkan password baru saat pembuatan instance.

Bersihkan informasi password pengguna:
- Linux: Hapus entri pengguna yang tidak diperlukan dari /etc/shadow dan /etc/passwd.
- Windows: Jalankan System Preparation (Sysprep) untuk menggeneralisasi gambar. Proses ini mereset SID, menghapus informasi pengguna, dan meminta akun baru atau password administrator saat startup berikutnya. Juga hapus akun lokal yang tidak diperlukan di Local Users and Groups (lusrmgr.msc).
Hapus semua kunci SSH:
- Linux: Hapus file kunci (terutama id_rsa dan authorized_keys) dari /root/.ssh dan semua direktori home pengguna (/home/*/.ssh).
- Windows: Hapus file kunci dari C:\Users\Administrator\.ssh dan semua direktori home pengguna (C:\Users\*\\.ssh). Juga bersihkan kredensial tersimpan di Credential Manager.
Bersihkan riwayat Shell:
- Linux: Jalankan history -c dan hapus .bash_history dari /root/ serta semua direktori home pengguna (/home/*/).
- Windows: Jalankan Clear-History untuk membersihkan riwayat sesi PowerShell saat ini. Lalu hapus file riwayat PowerShell untuk semua pengguna, biasanya berada di AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt.
Bersihkan file temporary dan log:
- Linux: Kosongkan /tmp dan /var/tmp. Tinjau dan bersihkan log di /var/log.
- Windows: Jalankan Disk Cleanup (cleanmgr.exe) untuk membersihkan file temporary sistem, Keranjang daur ulang, dan item lainnya. Gunakan perintah wevtutil cl <LogName> (misalnya, wevtutil cl System) atau Event Viewer untuk membersihkan semua log Event Windows utama, seperti application, security, dan system logs.
Hapus kredensial yang di-hardcode: Periksa kode aplikasi dan file konfigurasi untuk informasi sensitif yang di-hardcode seperti password database atau Kunci API.
Bersihkan data bisnis dan cache aplikasi: Kosongkan data bisnis dan direktori cache dari server web, database, dan aplikasi lainnya.

Kemampuan kepatuhan

Blokir ekspor gambar dan berbagi gambar/snapshot

Untuk pengguna RAM atau Grup pengguna RAM dengan tingkat kepercayaan rendah, gunakan kebijakan Deny untuk melarang operasi berisiko tinggi pada aset gambar inti—khususnya ekspor gambar, berbagi gambar, dan berbagi snapshot. Di tingkat organisasi atau akun, terapkan pembatasan ini melalui kebijakan RAM.

Untuk Pengguna perusahaan:

Login ke Konsol Resource Directory menggunakan Akun Alibaba Cloud Anda. Di bilah menu kiri, klik Control Policy, buat kebijakan kustom, lalu tempel konten JSON berikut.

Kebijakan ini menolak ekspor gambar, berbagi gambar, dan berbagi snapshot.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ecs:ExportImage",
                "ecs:ModifyImageSharePermission"
            ],
            "Resource": "*",
            "Effect": "Deny"
        },
        {
            "Action": [
                "resourcesharing:CreateResourceShare",
                "resourcesharing:AssociateResourceShare"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "resourcesharing:RequestedResourceType": [
                        "Snapshot",
                        "Image"
                    ]
                }
            },
            "Effect": "Deny"
        }
    ]
}

Di Resource Directory, pilih node dan sambungkan kebijakan tersebut. Kebijakan ini memblokir operasi yang ditentukan untuk semua akun di bawah node tersebut.

Untuk pengguna non-perusahaan:
1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda. Di panel navigasi kiri, klik Permission Policy. Buat kebijakan kustom dengan konten yang sama.
2. Sambungkan kebijakan tersebut ke pengguna RAM, Grup pengguna RAM, atau Peran RAM. Lihat Kelola otorisasi kebijakan akses.