Elastic Compute Service:Batasi akses IP ke port O&M instans

Periksa akses port tanpa batas

Blokir instans dengan port O&M tanpa batas

Pada tingkat organisasi atau akun, gunakan kebijakan RAM untuk secara proaktif memblokir aturan security group yang mengizinkan akses tanpa batas dari alamat IP mana pun.

• Untuk pengguna perusahaan:

  1. Login ke Konsol Resource Directory menggunakan Akun Alibaba Cloud Anda. Pada panel navigasi kiri, klik Control Policies, buat kebijakan izin kustom, lalu tempel konten JSON berikut.

     Kebijakan ini menolak pembuatan instans serta pembuatan atau modifikasi aturan security group yang memberikan akses port tanpa batas.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Di Resource Directory, sambungkan Control Policy ke node yang sesuai. Kebijakan tersebut kemudian berlaku untuk semua akun di bawah node tersebut.

• Untuk pengguna non-perusahaan:

  1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda. Pada panel navigasi kiri, klik Permission Policy dan buat kebijakan izin kustom dengan konten yang sama seperti kebijakan di atas.

  2. Berikan kebijakan izin tersebut kepada Pengguna RAM, Grup pengguna RAM, atau Peran RAM.

Perbaiki: Modifikasi aturan security group

Modifikasi aturan security group yang ada untuk mengubah objek otorisasi dari 0.0.0.0/0 menjadi rentang alamat IP tepercaya tertentu.

1. Temukan aturan tidak aman: Gunakan metode yang dijelaskan di bagian Check untuk menemukan security group dan aturan berisiko.

2. Modifikasi aturan tersebut:

   1. Buka halaman Konsol ECS - Security Groups. Temukan security group target dan klik Manage Rules di kolom Operation.

   2. Temukan aturan yang sesuai (misalnya, aturan untuk port 22 dengan objek otorisasi 0.0.0.0/0). Klik Modify, perbarui objek otorisasi menjadi alamat IP sumber tepercaya, lalu klik OK.