Bastionhost は、サービスの安定性とセキュリティを確保するために以下の制限を設けています。インスタンスを構成する前に、これらの制限をご確認ください。
制限項目 | 詳細 |
ドメイン名 | Bastionhost が割り当てたドメイン名を使用し、基盤となる IP アドレスは使用しないでください。 |
同時実行数 | セッション内の各 TCP 接続が 1 つの同時実行枠を消費します。割り当て量は Billing で確認できます。 |
運用保守クライアントツール | 推奨のクライアントツールとバージョンのみを使用してください。推奨外のツールは、サービスレベルアグリーメント (SLA) の対象外です。 |
2 要素認証 (RAM ユーザー) | 多要素認証 (MFA) のみをサポートしています。RAM コンソールで設定してください。 |
ユーザー名の長さ (RDP) | リモートデスクトッププロトコル (RDP) による O&M のユーザー名は、最大 63 文字です。これより長いユーザー名の場合は、Web ベースの O&M を使用する必要があります。 |
O&M アドレスの SMS (中国本土) | Alibaba Cloud 国際サイトから中国本土 (+86) の番号に送信されるテキストメッセージはブロックされる可能性があります。代わりにメール認証を使用してください。 |
SSH 監査シェルのサポート | bash、zsh、ksh、dash のみをサポートしています。 |
Bastionhost が割り当てたドメイン名の使用
Bastionhost は、O&M 接続用に固定のパブリックまたはプライベートドメイン名を提供します。基盤となる IP アドレスではなく、必ずこのドメイン名を使用してください。IP アドレスは変更される可能性があり、アクティブな接続が切断される原因となります。
同時実行数の制限
単一セッション内の各 TCP 接続が 1 つの同時実行枠を消費します。サービスは同時実行数の制限内で安定して動作しますが、制限を超えるとサービスが中断される可能性があります。インスタンスの同時実行数の割り当て量を確認するには、Billing をご参照ください。
過負荷保護
システムの安定性を維持するため、Bastionhost は過負荷保護メカニズムを組み込んでいます。高負荷シナリオによってシステムが過負荷状態になった場合、Bastionhost は新しいセッション接続を拒否するか、一部のアクティブなセッションを終了します。
以下のシナリオは、過負荷保護をトリガーすることが確認されています。以下の例は、資産数が 50 の Basic Edition インスタンスに適用されます。
プライベートネットワーク経由の Windows RDP (1080p) ：アニメーション GIF が 5 秒ごとに更新される 20 個の同時 RDP セッションを 30 分間実行すると、過負荷保護がトリガーされる可能性があります。
プライベートネットワーク経由の Linux SSH：5 秒ごとに 1 つのコマンドを送信する 50 個の同時セキュアシェル (SSH) セッションを 30 分間実行すると、過負荷保護がトリガーされる可能性があります。
データベースセッション：単純なクエリを実行する 50 個の同時データベースセッションで、各セッションが 10 を超える接続を含む場合、過負荷保護がトリガーされる可能性があります。
その他の高負荷シナリオには、リモートデスクトップでの複雑なグラフィック操作、リモートデスクトップブラウザーでの動画再生、データベース O&M 中のテーブルエクスポート操作などがあります。
過負荷保護がトリガーされた場合は、DingTalk グループ (ID：33797269) に参加し、製品技術エキスパートにお問い合わせください。
運用保守クライアントツールとバージョンの制限
多くのクライアントツールが Bastionhost に接続できますが、本番環境でのシナリオにおいてすべてが互換性を持つわけではありません。推奨のクライアントツールとバージョンに記載のツールとバージョンのみを使用してください。
推奨外のクライアントツールによる接続は、SLA の対象外です。
例えば、iShell、Dartshell、FinalShell などのツールは、短時間に多数の exec セッションを作成します。これによりシステムリソースが枯渇し、通常のセッションや機能が中断されます。
RAM ユーザーの 2 要素認証
MFA は、RAM ユーザーでサポートされている唯一の 2 要素認証方法です。有効にするには、RAM コンソールにログオンし、MFA デバイスを RAM ユーザーにバインドしてください。設定手順については、「Bind an MFA device to an Alibaba Cloud account」をご参照ください。
ローカルユーザーや Active Directory (AD)/LDAP ユーザーを含む RAM ユーザー以外のユーザーの場合、2 要素認証では、テキストメッセージ、メール、DingTalk ワークメッセージ、または OTP トークンで配信される動的認証コードを使用します。
RDP のユーザー名の長さ制限
クライアントの制約により、RDP による O&M では、Bastionhost のユーザー名は 63 文字を超えることができません。ユーザー名がこの制限を超える場合は、代わりに Web ベースの O&M を使用してください。
中国本土への O&M アドレスの SMS 配信
Bastionhost の O&M アドレスを含むテキストメッセージは、Alibaba Cloud 国際サイトから中国本土 (+86) の携帯電話番号に送信される際、通信事業者によってブロックされる可能性があります。この場合は、メール認証に切り替えてください。
2 要素認証やメッセージ通知など、その他の SMS ベースの機能は影響を受けません。
SSH O&M 監査：サポート対象のシェル環境
Bastionhost は、bash、zsh、ksh、または dash を実行している資産の SSH O&M セッションを監査します。異なるシェル環境を使用している資産では、O&M 操作や監査用のコマンド取得に互換性の問題が発生する可能性があります。