セキュリティを強化するため、Bastionhost はプライベートネットワーク経由での Web ベースの O&M をサポートしています。このトピックでは、プライベート O&M ポータルを有効にして、プライベートネットワークから Bastionhost インスタンスにアクセスする方法について説明します。
背景情報
Bastionhost は PrivateLink を使用して、ご利用の VPC と Bastionhost サービス間に安全なプライベート接続を確立します。これにより、プライベートネットワーク経由で O&M ポータルにアクセスし、Web ベースの O&M を実行できるため、セキュリティが大幅に向上します。
エディション
Bastionhost の Enterprise Edition および SM 準拠エディションのみが、プライベート O&M ポータルをサポートしています。インスタンスの購入またはスペックアップについては、「インスタンスの購入」および「インスタンスの仕様をスペックアップ」をご参照ください。
影響
プライベート O&M ポータルを有効にすると、ご利用の Bastionhost インスタンスに次のような影響があります。
-
プライベート O&M ポータルの解決済み IP アドレスが変更されます。すべての操作には、コンソールで提供される O&M ドメイン名を使用する必要があります。
-
以前のプライベート IP アドレスに基づいたファイアウォールルールなどのアクセス制御ポリシーがある場合は、新しい IP アドレスに更新する必要があります。
プライベート O&M ポータルを有効にした後、互換性の問題により、Xshell クライアントを使用して Bastionhost に接続する際にログインに失敗することがあります。
操作手順
Bastionhost コンソールにログインします。上部のナビゲーションバーで、Bastionhost インスタンスが配置されているリージョンを選択します。
-
[インスタンス] ページで、ターゲットインスタンスの に移動します。
-
プライベートネットワーク保守運用の有効化 パネルで、PrivateLink エンドポイントセキュリティグループを選択し、OK をクリックします。
重要-
プライベートアウトバウンド IP アドレスに基づいたアクセス制御ポリシー (ファイアウォールルールなど) がある場合は、新しい IP アドレスに更新する必要があります。
-
更新中、インスタンスにはアクセスできなくなり、ステータスは アップグレード/ダウングレード中 に変わります。このプロセスには約 20 分かかります。影響を最小限に抑えるため、この操作はオフピーク時間帯に実行してください。
-
選択した PrivateLink エンドポイントセキュリティグループは、一度設定すると変更できません。
-
次のステップ
クライアントアクセスルールの設定
プライベートな Web ベースの O&M を行うには、クライアントが Bastionhost インスタンスの VPC に接続する必要があります。また、クライアントトラフィックを許可するために PrivateLink エンドポイントセキュリティグループにルールを追加する必要があります。そうしないと、クライアントはプライベート O&M アドレスにアクセスできません。以下に、一般的な Bastionhost のサービスとポートを示します。要件に基づいてアクセスルールを設定してください。
-
SSH O&M：60022
-
RDP O&M：63389
-
セッション再生ポート：9443
-
ホスト O&M および O&M ポータルポート：443
-
Bastionhost Assistant ポート：20045
たとえば、IP アドレスが 192.168.0.1 のクライアントから SSH ベースの O&M を行うためのセキュリティグループルールを設定するには、「セキュリティグループルールの追加」をご参照ください。
セキュリティグループのインバウンドルールで、次の設定でルールを追加します。[アクション] を [許可] に、[優先度] を 1 に、[プロトコルタイプ] を [カスタム TCP] に、[ソース] を 192.168.0.1 に、[ポート範囲] を 60022/60022 に設定します。
関連ドキュメント
O&M エンジニアが Web ベースの O&M を実行する方法については、「Web ベースの O&M」をご参照ください。