アクセスコントロールがない場合、O&M エンジニアは任意のコマンドを実行し、任意のソース IP から接続し、監視なしでアセットにログインできてしまいます。コントロールポリシーを使用すると、Bastionhost での O&M 操作にセキュリティ境界を適用できます。これにより、高リスクコマンドのブロックまたは承認要求、プロトコルアクセスの制限、ソース IP アドレスの限定、エンジニアがアセットにアクセスする前のログイン承認の要求が可能になります。
ステップ 1：コントロールポリシーの作成
Bastionhost コンソールにログインします。上部のナビゲーションバーで、要塞ホストが存在するリージョンを選択します。
要塞ホストのリストで、管理する要塞ホストを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[コントロールポリシー] をクリックします。
[コントロールポリシー] ページで、[コントロールポリシーの作成] をクリックします。
以下で説明するパラメーターを設定し、[コントロールポリシーの作成] をクリックします。
優先度
有効値：1～100。デフォルト：1 (最高優先度)。
複数のポリシーが同じ優先度を共有する場合、最も新しく作成されたポリシーが優先されます。コマンドコントロールポリシーとコマンド承認ポリシーの両方が同じコマンドに一致する場合、適用の順序は 拒否 > 許可 > 承認 となります。
コマンドポリシー
ホストコマンドポリシー
説明 ホストコマンドポリシーは Linux ホストにのみ適用されます。
[制御が必要なコマンド] を使用して、ポリシーが対象とするユーザーとホストに対して許可またはブロックするコマンドを指定します。
(ブラックリスト) リストされたコマンドは許可されません — リストされたコマンドをブロックします。このフィールドは空のままにできます。ほとんどのコマンドが許容され、既知の高リスク操作のセットのみをブロックする必要がある場合、このモードを使用します。
(ホワイトリスト) リストされたコマンドのみ許可されます — リストされたコマンドのみを許可します。このフィールドは必須です。厳格なコントロールが必要で、許可されるすべてのコマンドを列挙できる場合、このモードを使用します。
[承認が必要なコマンド] を使用して、実行前に管理者によるレビューが必要なコマンドにフラグを立てます。ユーザーがフラグ付きのコマンドを実行すると、管理者が Bastionhost コンソールで承認または拒否するまで保留されます。詳細については、「コマンドのレビュー」をご参照ください。
説明 コマンドコントロールポリシー (ブラックリスト/ホワイトリスト) は、コマンド承認ポリシーよりも優先されます。コントロールポリシーによってブロックされたコマンドは、承認のために送信されることはありません。
ホストコマンドの推奨ポリシー
次の表に、高リスクコマンドとそれぞれに推奨されるポリシーを示します。
| コマンド | 説明 | 推奨ポリシー |
|---|
reboot | システムを再起動します | 承認が必要 |
restart | システムを再起動します | 承認が必要 |
shutdown | システムをシャットダウンします | 承認が必要 |
halt | システムをシャットダウンします | 承認が必要 |
poweroff | システムをシャットダウンします | 承認が必要 |
init 0 | システムを停止します | 承認が必要 |
pkill | 複数のプロセスを終了させます | 承認が必要 |
kill | 単一のプロセスを終了させます | 承認が必要 |
rm -rf | プロンプトなしでディレクトリを再帰的に削除します | 承認が必要 |
mount | ファイルシステムをマウントします (ウイルスレプリケーションのリスク) | 承認が必要 |
umount | ファイルシステムをアンマウントします | 承認が必要 |
parted | ファイルシステムをパーティション分割します | 承認が必要 |
format | ディスクをフォーマットします | ブラックリスト |
dd if=/dev/zero of=/dev/had | ディスクをクリアします | ブラックリスト |
:(){:|:&};: | フォーク爆弾を作成します | ブラックリスト |
(mv)(|.*)(/dev/null) | ディレクトリを /dev/null に移動します | ブラックリスト |
(wget)(|.*)(-O- | sh) | ファイルをダウンロードして即座に実行します | ブラックリスト |
mkfs.ext3 * | ディスクをフォーマットします | ブラックリスト |
dd if=/dev/random of=/dev/* | ブロックデバイスにランダムデータを書き込みます | ブラックリスト |
データベースコマンドポリシー
[制御が必要なコマンド] を使用して、許可またはブロックするデータベースコマンドを指定します。
[一致メソッド] では、SQL 解析と正規表現のマッチングから選択します。
プロトコルコントロール
[RDP オプション]、[SSH オプション]、[SFTP オプション] を設定して、ポリシーが許可する操作を定義します。たとえば、[ファイルアップロード] を有効にすると、ユーザーは O&M セッション中にファイルをアップロードできます。
チャンネルロックアウトの回避
重要 [SSH チャンネル] または [SFTP チャンネル] の少なくとも 1 つを選択してください。[SSH チャンネル] の選択を解除すると、ポリシーが対象とするすべてのアカウントで SSH ベースのログインが無効になります。慎重に進めてください。
ホストアカウントに SFTP 権限のみ有効化 が設定されている場合、コントロールポリシーで [SSH チャンネル] と [SFTP チャンネル] の両方を無効にしないでください。無効にすると、そのホストアカウントは Bastionhost を介してホストにアクセスできなくなります。
アクセスコントロール
ポリシーが対象とするアセットにアクセスできるソース IP アドレスを制御します。
ログインコントロール
[O&M 承認] — 有効にすると、O&M エンジニアはアセットにログインする前に O&M 申請を提出し、管理者の承認を待つ必要があります。詳細については、「O&M 申請のレビュー」をご参照ください。
[ログイン備考] — 有効にすると、O&M 担当者は Web ページベースの O&M、SSO ベースの O&M を実行する前、または O&M トークンを申請する前に備考を入力する必要があります。次の図は、O&M ポータルでのログイン備考のプロンプトを示しています。
ステップ 2：ポリシーとアセットおよびユーザーの関連付け
コントロールポリシーは、アセットとユーザーの両方に関連付けられるまで効果がありません。[ポリシーがアタッチされているアセットとユーザー] ページで、コントロールポリシーをアセットとユーザーに関連付けてポリシーを有効にします。
アセットとの関連付け
範囲に基づいて、次のいずれかのオプションを選択します。
| オプション | 使用する状況 | 次のステップ |
|---|
| すべてのアセットで有効 | バスタイオンホスト内のすべてのアセットアカウントにポリシーを適用します。 | これ以上の選択は不要 |
| 選択したアセットで有効 | ポリシーを特定のアセットにのみ適用する場合 | アセットを選択し、[すべてのアカウントを関連付け] または [特定のアカウントを関連付け] |
説明 一度に複数のアセットにポリシーを適用するには、まずそれらをアセットグループに追加し、次にポリシーをそのグループに関連付けます。
ユーザーとの関連付け
次のいずれかのオプションを選択します。