メタデータアクセスのセキュリティ強化モードを有効にして SSRF 攻撃を防ぎ、認証情報による認証でインスタンスメタデータを保護し、RAM ポリシーでコンプライアンスを強制します。 - Elastic Compute Service

インスタンスメタデータへのアクセスにトークンベースの認証を要求することで、SSRF 攻撃を防ぎます。

セキュリティリスク

通常モードでは、インスタンスメタデータリクエストは送信元 IP アドレスによって認証されます。攻撃者はこのアドレスを偽造して認証をバイパスすることで、SSRF 攻撃を引き起こし、機密性の高いメタデータを漏洩させる可能性があります。セキュリティ強化モードでは、特定の ECS インスタンス内でのみ生成されて有効となる、時間制限のあるアクセス認証情報が必要です。この認証情報は推測または偽造できないため、セキュリティ強化モードはほとんどの SSRF 攻撃を防ぎます。

ベストプラクティス

コンソール

インスタンス購入ページで、[通常モードとセキュリティ強化モード] の代わりに [セキュリティ強化モード] を選択します。このモードは、一部の最新のパブリックイメージバージョンでのみサポートされています。

重要

インスタンスメタデータにセキュリティ強化モードを強制した後、メタデータにアクセスするすべてのアプリケーションコードを、トークンベースの認証を使用するように更新してください。

API

RunInstances または CreateInstance API 操作を呼び出す際は、セキュリティ強化モードを適用するために、HttpTokens を required に、HttpEndpoint を enabled に設定します。

コンプライアンス機能

ブロック：セキュリティ強化モードなしでのインスタンス作成の拒否

組織またはアカウントレベルで RAM ポリシーを使用して、セキュリティ強化モードを使用しないインスタンス作成を拒否します。

エンタープライズユーザーの場合：
1. Alibaba Cloud アカウントでリソースディレクトリコンソールにログインします。ナビゲーションペインで、[コントロールポリシー] をクリックします。次の JSON コンテンツでカスタムポリシーを作成します。
  
  このポリシーは、セキュリティ強化モードを使用しないインスタンスの作成やメタデータモードの変更を拒否します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance",
        "ecs:ModifyInstanceMetadataOptions"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:SecurityHardeningMode": ["false"]
        }
      }
    }
  ]
}
```
2. リソースディレクトリでノードを選択し、ポリシーをアタッチします。このポリシーは、そのノード配下のすべてのアカウントに対して、指定された操作をブロックします。
個人ユーザーの場合：
1. Alibaba Cloud アカウントでResource Access Management (RAM) コンソールにログインします。ナビゲーションペインで、権限付与ポリシー をクリックします。同じ JSON コンテンツでカスタムポリシーを作成します。
2. RAM ユーザー、RAM ユーザーグループ、または RAM ロールにポリシーをアタッチします。

修正：既存インスタンスの修復

既存のインスタンスに対するセキュリティ強化モードの強制