Elastic Compute Service：Hindari Menggunakan Kata Sandi Lemah untuk Masuk ke Instans

Instans Linux

Gunakan autentikasi pasangan kunci, yang lebih aman daripada autentikasi kata sandi.

Instans Windows

Gunakan autentikasi kata sandi kuat. Autentikasi pasangan kunci tidak didukung.

Saat membuat instans pada halaman pembelian instans, atur Logon Credentials ke Custom Password. Kemudian, ikuti petunjuk untuk menetapkan Logon Password yang kompleks (kuat):

• Kata sandi kompleks harus memenuhi persyaratan berikut:

  • Kata sandi harus minimal 8 karakter.

  • Harus berisi setidaknya tiga dari jenis karakter berikut: huruf besar (A–Z), huruf kecil (a–z), angka (0–9), dan karakter khusus (~, !, @, $, %, ^, &, *, -, _, =, +, #, /, ?).

  • Kata sandi tidak boleh menjadi nama pengguna atau nama pengguna dalam urutan terbalik.

• Jangan gunakan kata sandi lemah umum atau yang diketahui publik, seperti:

  • Kata sandi lemah yang diketahui publik, seperti abcd1234, admin, root, dan admin@123.

  • Urutan angka atau huruf berturut-turut, atau tombol berurutan pada keyboard, seperti 123456, abcdef, 123abc, qwerty, dan 1qaz2wsx.

  • Kata sandi berbasis frasa, seperti 5201314 dan woaini1314.

  • Nama perusahaan, tanggal lahir, nama, nomor ID, nomor telepon, alamat email, ID pengguna, dan tahun.

• Ubah kata sandi Anda secara berkala.

  Kami merekomendasikan agar Anda mengubah kata sandi setiap 90 hari.

Pemeriksaan: Temukan instans Linux yang tidak menggunakan autentikasi pasangan kunci

Blokir: Larang autentikasi kata sandi saat Anda membuat instans Linux atau melakukan operasi lainnya

Gunakan kebijakan Resource Access Management (RAM) di tingkat organisasi atau akun untuk memblokir tindakan yang menetapkan kata sandi untuk instans Linux.

• Untuk pengguna perusahaan:

  1. Masuk ke Konsol Direktori Sumber Daya dengan Akun Alibaba Cloud Anda. Di panel navigasi di sebelah kiri, klik Control Policies. Buat kebijakan kustom dan tempel konten JSON berikut.

     Kebijakan ini menolak penggunaan autentikasi kata sandi saat Anda membuat instans, menyambungkan disk sistem, mengganti disk sistem, memodifikasi atribut instans, atau mengubah kata sandi.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     },
                     "StringEquals": {
                         "ecs:ImagePlatform": "linux"
                     }
                 },
                 "Effect": "Deny"
             },
             {
                 "Action": [
                     "ecs:ModifyInstanceAttribute",
                     "ecs:InvokeCommand",
                     "ecs:AttachDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. Lampirkan kebijakan ke node yang sesuai di direktori sumber daya Anda. Kebijakan tersebut kemudian memblokir tindakan yang ditentukan untuk semua akun di bawah node tersebut.

• Untuk pengguna non-perusahaan:

  1. Masuk ke Konsol RAM dengan Akun Alibaba Cloud Anda. Di panel navigasi di sebelah kiri, klik Policies. Buat kebijakan kustom dengan konten yang sama dengan kebijakan di atas.

  2. Lampirkan kebijakan ke pengguna RAM, grup pengguna RAM, atau peran RAM. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

Perbaiki: Alihkan instans yang ada ke masuk pasangan kunci

Jika pemeriksaan menemukan instans Linux yang ada yang menggunakan masuk kata sandi, alihkan mereka ke autentikasi pasangan kunci.

1. Lampirkan pasangan kunci: Lampirkan pasangan kunci yang ada, atau buat pasangan kunci baru dan lampirkan ke instans.

   Setelah Anda melampirkan pasangan kunci, coba masuk ke instans dengan pasangan kunci baru untuk memastikan Anda dapat mengakses instans tersebut.

2. Nonaktifkan masuk kata sandi: Masuk ke instans dan jalankan skrip berikut untuk memodifikasi file konfigurasi layanan Protokol Secure Shell (SSH).

   #!/bin/bash
   # Cadangkan file konfigurasi asli
   cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak_$(date +%F)
   
   # Nonaktifkan autentikasi kata sandi: Ubah parameter PasswordAuthentication menjadi no
   sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   
   # Mulai ulang layanan SSH agar konfigurasi berlaku
   # Perintah mungkin sshd atau ssh, tergantung pada sistem operasi
   systemctl restart sshd || service sshd restart

3. Verifikasi: Setelah operasi selesai, mulai ulang instans. Coba masuk ke instans menggunakan autentikasi kata sandi. Upaya masuk harus gagal. Kemudian, coba masuk menggunakan pasangan kunci untuk memastikan bahwa masuk pasangan kunci berhasil.