このトピックでは、Bastionhost を使用する際の重要な制限事項と考慮事項について説明します。
Bastionhost によって割り当てられたドメイン名を使用した運用保守
継続的な運用保守を保証するため、Bastionhost は接続用に固定のパブリックドメイン名またはプライベートドメイン名を提供します。IP アドレスの変更による障害を防ぐため、運用保守の接続には Bastionhost によって割り当てられたドメイン名を使用してください。
同時接続数の制限
単一のセッション内で複数の TCP 接続を開始すると、各接続が 1 つの同時接続スロットを消費します。Bastionhost サービスは、同時接続数の上限内で動作する場合にのみ安定して実行されます。この上限を超えると、サービスが中断される可能性があります。ご利用の Bastionhost インスタンスの同時接続数のクォータを確認するには、「課金方法」をご参照ください。
システムの安定性を確保するため、Bastionhost には過負荷保護メカニズムが組み込まれています。高負荷なシナリオによってシステムが過負荷状態になると、Bastionhost は新しいセッション接続を拒否したり、一部のオンラインセッションを終了したりします。この問題が発生した場合は、DingTalk グループ (ID: 33797269) に参加し、プロダクト技術専門家にご連絡ください。
重要たとえば、複数のセッションにまたがる複雑なグラフィック操作のためのリモートデスクトップの使用、リモートデスクトップのブラウザでの動画視聴、SQL Server データベースの運用保守中のテーブルのエクスポート操作などは、サービスに高い負荷をかける可能性のあるシナリオです。これらのシナリオは、Bastionhost の過負荷保護メカニズムをトリガーする可能性があります。
以下は、50 アセットを持つ Basic Edition インスタンスで過負荷保護メカニズムがトリガーされる可能性のあるシナリオの例です。
Bastionhost を使用して、プライベートネットワーク経由で画面の解像度 1080p の Windows サーバーの運用保守を行う場合、20 の同時 RDP (Remote Desktop Protocol) セッションを実行中に、アニメーション GIF が 5 秒ごとに 30 分間画像を変更すると、過負荷保護メカニズムがトリガーされる可能性があります。
Bastionhost を使用して、プライベートネットワーク経由で Linux サーバーの運用保守を行い、5 秒ごとに 30 分間コマンドを 1 つ送信する場合、50 の同時 SSH (Secure Shell) セッションを実行すると、過負荷保護メカニズムがトリガーされる可能性があります。
Bastionhost を使用してデータベースサーバーに接続し、単純なクエリ文を実行する場合、各セッションに 10 以上の接続が含まれていると、50 の同時データベースセッションを実行することで過負荷保護メカニズムがトリガーされる可能性があります。
運用保守クライアントツールとバージョンの制限
Bastionhost へのリモート接続には多くのクライアントツールとバージョンを使用できます。しかし、実際の運用保守シナリオは複雑です。接続の失敗やシステムの不安定性を防ぐため、互換性のあるリモート接続クライアントツールを使用して運用保守を行う必要があります。互換性のあるクライアントツールとバージョンのリストについては、「クライアントのリモート接続ツールとバージョン」をご参照ください。
Bastionhost システムの安定性とセキュリティを確保するため、「クライアントのリモート接続ツールとバージョンガイド」で推奨されているクライアントツールを使用する必要があります。これにより、接続の失敗やシステムの不安定性を防ぐことができます。推奨されていないクライアントツールを使用して Bastionhost に接続することは、サービスレベルアグリーメント (SLA) の対象外です。
たとえば、iShell、Dartshell、FinalShell などのクライアントツールを使用して Bastionhost に接続すると、短時間で多数の exec セッションが作成されます。これにより、過剰なシステムリソースが消費され、通常のセッションや機能に影響を与えます。
RAM ユーザーの二要素認証
現在、RAM ユーザーでサポートされている二要素認証の方法は、多要素認証 (MFA) のみです。
RAM ユーザーの二要素認証を設定するには、RAM コンソールにログインし、その RAM ユーザーに対して MFA を有効にします。詳細については、「Alibaba Cloud アカウントへの MFA デバイスのバインド」をご参照ください。
ローカルユーザーや AD/LDAP ユーザーなどの RAM ユーザー以外の場合、二要素認証は動的検証コードの送信によってサポートされます。コードは、ショートメッセージ、メール、DingTalk のワークメッセージ、または OTP トークンを介して送信できます。
Bastionhost ユーザー名の文字数制限
クライアントの制限により、RDP 経由の運用保守では、Bastionhost のユーザー名は 63 文字を超えることはできません。ユーザー名が 63 文字を超える場合、Web ベースの運用保守でのみサーバーにログインできます。詳細については、「Web ベースの運用保守」をご参照ください。
運用保守アドレス通知のショートメッセージに関する制限
キャリアの制限により、Alibaba Cloud 国際サイトから中国本土 (+86) の携帯電話番号に送信される場合、Bastionhost の運用保守アドレスを含むショートメッセージがブロックされることがあります。この場合、代わりにメール認証を使用してください。
二要素認証やメッセージ通知など、ショートメッセージを送信する他の機能は影響を受けません。
Linux アセットのシェル環境に対する SSH 運用保守の監査サポート
サポートされているシェル環境には、標準の bash、zsh、ksh、dash が含まれます。アセットが異なるシェル環境を使用している場合、運用保守操作や監査のためのコマンド取得に互換性がない可能性があります。