Bastionhost は、クラウド資産への特権アクセスを集中管理するスタンドアロンの SaaS サービスです。最小権限ポリシーを適用し、すべてのセッションを記録し、誰が、いつ、どのアセットで何を行ったかに関する完全な監査証跡を提供します。Alibaba Cloud コンソールで別途 Bastionhost インスタンスを購入し、有効化する必要があります。
利用可能なエディション
Bastionhost は、以下のエディションで利用できます：
エディション | 説明 |
Basic Edition | 標準的な O&M および監査シナリオ向けに、最大 500 のアセットに対応するシングルエンジンアーキテクチャです。 |
Enterprise Edition | 99.95% の SLA を備えたデュアルエンジンのアクティブ/アクティブアーキテクチャで、データベース O&M、アプリケーション O&M、パスワードの自動ローテーション、ネットワークドメインプロキシなどの高度な機能をサポートします。 |
SM Edition | Enterprise Edition の機能に加えて、規制対象の業界向けに中国暗号アルゴリズムに準拠しています。 |
機能の詳細な比較については、「Bastionhost のエディション別の機能比較」をご参照ください。
Bastionhost の対象ユーザー
組織全体のサーバー、データベース、その他のアセットへのアクセス権を単一の場所で付与および取り消す必要がある IT 管理者。
等級保護などのコンプライアンス要件を満たすために、完全な監査証跡、セッション記録、リスクの高い操作のリアルタイムでの遮断を必要とするセキュリティエンジニア。
SSH キーや共有パスワードを管理することなく、許可されたアセットへのスムーズで安全なアクセスを求める O&M エンジニア。
仕組み
ユーザーは 2 要素認証を使用して Bastionhost で認証します。
Bastionhost はユーザーの権限を確認し、アクセスを許可されたアセットのみを表示します。
ユーザーは Bastionhost を介してターゲットアセットに接続します。
すべての操作はリアルタイムで記録されます。管理者はセッションを再生し、あらゆる O&M イベントのテキストベースの監査記録を確認できます。
メリット
O&M のための統合ポータル
Bastionhost はすべてのアセットへのアクセスのための単一のエントリーポイントとして機能し、攻撃対象領域を縮小します。各サーバーへの直接接続を開く代わりに、ユーザーは 1 つのポータルを介してすべての許可されたリソースにアクセスするため、セキュリティ上のリスクと、個々のアクセスパスを管理する運用上のオーバーヘッドの両方が削減されます。
2 要素認証
パスワードに加えて、Bastionhost は 2 番目の認証要素として、テキストメッセージ、メール、DingTalk のワークメッセージ、OTP トークン、SM USB キーを要求します。これにより、アカウントの資格情報が侵害された場合でも不正アクセスを防ぎ、パスワードの漏洩とブルートフォース攻撃の両方から防御します。
きめ細かな権限割り当て
権限は、ユーザー、アセット、アセットアカウントの組み合わせで定義されます。ユーザーは、明示的に許可された特定のアセットとアカウントにのみアクセスでき、それ以外にはアクセスできません。一元化された権限管理により、環境全体のアクセス更新が容易になります。
アセット資格情報の保護
Bastionhost はアセットのパスワードを自動的にローテーションし、資格情報ホスティングによるパスワードレスログインをサポートします。これにより、O&M 担当者へのパスワードの開示が減り、日常のメンテナンス中にパスワードがコピー、共有、または漏洩するリスクが低減されます。
O&M 操作の継続的な監視
rm -rf /* やディスクのフォーマットなど、リスクの高いコマンドは、実行される前にリアルタイムで遮断されます。ファイルのアップロードおよびダウンロード操作は制限できます。ビジネス上機密性の高いアセットについては、O&M 操作に対して二次承認を有効にできます。これにより、管理者は機密性の高い操作が実行される前に直接制御できます。
イベント追跡のための可視化された監査
すべての O&M セッションは、セッション記録とテキストベースの監査記録の両方として記録されます。管理者は、完全な操作シーケンスをビデオとして再生できるため、インシデント発生時に何が起こったかを正確に追跡し、監査要求に対応し、等級保護要件を満たすことが容易になります。