All Products
Search

This Product

    Elastic Compute Service:Menggunakan Bastionhost untuk memenuhi persyaratan MLPS 2.0

    Document Center

    Elastic Compute Service:Menggunakan Bastionhost untuk memenuhi persyaratan MLPS 2.0

    Last Updated:Jun 22, 2026

    Gunakan Bastionhost untuk menetapkan titik masuk O&M terpusat, menerapkan kontrol izin detail halus, dan melakukan audit operasi end-to-end. Pendekatan ini membantu Anda mengamankan Instance ECS serta memenuhi persyaratan inti MLPS 2.0 Level 3 terkait otentikasi identitas, kontrol akses, dan audit operasi.

    Risiko keamanan

    Metode O&M tradisional—seperti mengizinkan personel mengakses server langsung dari internet atau jaringan kantor melalui SSH atau RDP—menimbulkan sejumlah risiko yang sulit dikendalikan:

    1. Pengguna tidak teridentifikasi dan penyalahgunaan hak istimewa: Penggunaan akun server lokal atau bersama, seperti root atau Administrator, menyebabkan tindakan tidak dapat dilacak ke operator tertentu. Jika kredensial akun dengan hak istimewa tinggi dikompromikan, penyerang dapat memperoleh akses tanpa batas dan melakukan aksi berbahaya sehingga pelaku tidak dapat diidentifikasi.

    2. Titik buta operasional: Tanpa alat audit khusus, tindakan yang dilakukan langsung pada server sering kali tidak terekam secara lengkap. Dalam insiden keamanan, kurangnya log operasi detail atau rekaman sesi menghambat kemampuan Anda untuk menentukan pertanggungjawaban, menganalisis jalur serangan, atau menilai tingkat kerusakan.

    3. Manajemen kredensial tidak teratur dan risiko kebocoran: Mengelola ratusan hingga ribuan server sering kali mengharuskan operator mengingat banyak kata sandi dan kunci. Hal ini mendorong praktik tidak aman seperti penggunaan kata sandi lemah atau berulang serta penyimpanan kredensial di lokasi yang tidak aman, sehingga meningkatkan risiko kebocoran kredensial secara signifikan.

    4. Tempat berkembangnya lateral movement: Jika penyerang berhasil mengkompromikan jump server atau PC operator dan memperoleh akses langsung ke server, mereka dapat menggunakan server tersebut sebagai pijakan untuk bergerak lateral di dalam jaringan internal Anda, berpotensi mengkompromikan sistem-sistem yang lebih kritis.

    5. Kebocoran data sensitif: Saluran O&M yang tidak terkendali memungkinkan operator atau penyerang dengan mudah mengunduh data sensitif melalui transfer file atau ekspor database, yang berujung pada pelanggaran data.

    Praktik terbaik

    Gunakan Bastionhost untuk mengelola aset Instance ECS secara terpusat dan terapkan security group guna membatasi akses sistem hanya pada koneksi yang berasal dari Bastionhost. Pendekatan ini memungkinkan Anda mengelola akun dan izin O&M secara terpusat serta mengaudit seluruh operasi.

    1. Rencanakan dan deploy Bastionhost

      Buka halaman pembelian Bastionhost, pilih spesifikasi yang sesuai, lalu aktifkan instans di Konsol Bastionhost. Untuk petunjuk lengkap, lihat Membeli dan login ke instans Bastionhost.

    2. Kebijakan akses jaringan deny-by-default

      Terapkan aturan tingkat jaringan untuk mengarahkan seluruh trafik O&M melalui Bastionhost.

      • Buat security group khusus: Buat atau siapkan security group untuk Instance ECS Anda. Secara default, aturan masuknya harus menolak semua akses eksternal, terutama untuk Port SSH (22) dan RDP (3389).

      • Konfigurasikan aturan pengecualian untuk mengizinkan akses: Di dalam security group, tambahkan aturan masuk yang hanya mengizinkan trafik dari alamat IP egress Bastionhost ke Port O&M Instance ECS target, seperti 22 atau 3389.

        • Contoh aturan:

          • Action: Allow

          • Priority: 1 (Tertinggi)

          • Protocol: TCP

          • Source: Masukkan alamat IP egress Bastionhost. Contohnya, 47.100.XX.XX/32.

          • Destination: 22/22 (SSH) atau 3389/3389 (RDP)

        Security group hanya mengizinkan 47.100.XX.XX/32 (alamat IP egress Bastionhost) mengakses Port 22 server dalam grup tersebut.

    3. Kelola aset dan identitas secara terpusat

      • Impor aset: Di Konsol Bastionhost, Anda dapat mengimpor aset yang perlu dikelola—seperti Instance ECS, database, dan aplikasi—untuk manajemen terpadu. Untuk detailnya,

        Untuk informasi selengkapnya, lihat Buat host baru.

      • Integrasikan sumber identitas:

        • Buat pengguna Bastionhost untuk login ke Bastionhost dan melakukan operasi pada aset. Untuk informasi lebih lanjut, lihat Kelola pengguna.

        • Untuk perusahaan yang telah memiliki sistem otentikasi identitas, kami merekomendasikan mengintegrasikan Bastionhost dengan sumber identitas yang ada, seperti Pengguna RAM, AD/LDAP, atau menghubungkannya ke layanan seperti DingTalk dan WeCom melalui solusi Identity as a Service (IDaaS) untuk mengaktifkan manajemen identitas terpadu. Lihat Praktik terbaik otentikasi identitas.

    4. Konfigurasikan kebijakan kontrol akses

      • Otorisasi pengguna dan aset: Ikuti prinsip hak istimewa minimal. Berikan setiap pengguna Bastionhost akses hanya ke aset yang dibutuhkannya. Misalnya, developer hanya dapat mengakses server di lingkungan pengembangan, dan Administrator basis data hanya dapat mengakses server database. Lihat Berikan izin pada aset dan akun aset kepada pengguna.

      • Konfigurasikan kebijakan kontrol detail halus: Gunakan fitur kebijakan kontrol di Bastionhost untuk kontrol yang lebih granular. Anda dapat membatasi pengguna tertentu dari menjalankan perintah berisiko tinggi (seperti rm -rf), menetapkan batasan pada jenis dan ukuran transfer file, serta mengaktifkan persetujuan dua orang untuk operasi sensitif. Lihat Konfigurasikan kebijakan kontrol.