Elastic Compute Service:インスタンスへのログインに弱いパスワードを使用しない

Linux インスタンス

キーペア認証を使用してください。これはパスワード認証よりも安全です。

Windows インスタンス

強力なパスワード認証を使用してください。キーペア認証はサポートされていません。

インスタンス購入ページでインスタンスを作成する際、[ログイン認証情報] を [カスタムパスワード] に設定します。次に、プロンプトに従って、複雑な (強力な) [ログインパスワード] を設定します:

• 複雑なパスワードは、次の要件を満たす必要があります:

  • パスワードは 8 文字以上である必要があります。

  • 大文字 (A–Z)、小文字 (a–z)、数字 (0–9)、特殊文字 (~, !, @, $, %, ^, &, *, -, _, =, +, #, /, ?) のうち、3 種類以上の文字タイプを含める必要があります。

  • パスワードは、ユーザー名またはユーザー名を逆にした文字列であってはなりません。

• 次のような、一般的または公知の弱いパスワードは使用しないでください:

  • abcd1234、admin、root、admin@123 などの公知の弱いパスワード。

  • 123456、abcdef、123abc、qwerty、1qaz2wsx などの、連続したまたは混合した数字と文字のシーケンス、またはキーボード上の連続したキー。

  • 5201314 や woaini1314 などのフレーズベースのパスワード。

  • 会社名、誕生日、名前、ID 番号、電話番号、メールアドレス、ユーザー ID、および年。

• パスワードを定期的に変更してください。

  パスワードは 90 日ごとに変更することをお勧めします。

チェック: キーペア認証を使用していない Linux インスタンスを検索する

ブロック: Linux インスタンスの作成またはその他の操作実行時のパスワード認証を禁止する

組織またはアカウントレベルで Resource Access Management (RAM) ポリシーを使用して、Linux インスタンスのパスワードを設定するアクションをブロックします。

• エンタープライズユーザーの場合:

  1. Alibaba Cloud アカウントで リソースディレクトリコンソールにログインします。左側のナビゲーションウィンドウで、[コントロールポリシー] をクリックします。カスタムポリシーを作成し、次の JSON コンテンツを貼り付けます。

     このポリシーは、インスタンスの作成、システムディスクのアタッチ、システムディスクの置き換え、インスタンス属性の変更、またはパスワードの変更時にパスワード認証の使用を拒否します。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     },
                     "StringEquals": {
                         "ecs:ImagePlatform": "linux"
                     }
                 },
                 "Effect": "Deny"
             },
             {
                 "Action": [
                     "ecs:ModifyInstanceAttribute",
                     "ecs:InvokeCommand",
                     "ecs:AttachDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. リソースディレクトリ内の適切なノードにポリシーをアタッチします。これにより、そのノード配下のすべてのアカウントに対して指定されたアクションがブロックされます。

• 非エンタープライズユーザーの場合:

  1. Alibaba Cloud アカウントで RAM コンソールにログインします。左側のナビゲーションウィンドウで、[ポリシー] をクリックします。上記のポリシーと同じ内容のカスタムポリシーを作成します。

  2. RAM ユーザー、RAM ユーザーグループ、または RAM ロールにポリシーをアタッチします。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

修正: 既存のインスタンスをキーペアログインに切り替える

チェックによってパスワードログインを使用している既存の Linux インスタンスが見つかった場合は、キーペア認証に切り替えます。

1. キーペアのアタッチ: 既存のキーペアをアタッチするか、新しいキーペアを作成してインスタンスにアタッチします。

   キーペアをアタッチした後、新しいキーペアでインスタンスにログインしてみて、インスタンスにアクセスできることを確認します。

2. パスワードログインの無効化: インスタンスにログインし、次のスクリプトを実行して Secure Shell Protocol (SSH) サービス構成ファイルを変更します。

   #!/bin/bash
   # 元の構成ファイルをバックアップします
   cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak_$(date +%F)
   
   # パスワード認証を無効化: PasswordAuthentication パラメーターを no に変更します
   sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   
   # 構成を有効にするために SSH サービスを再起動します
   # コマンドはオペレーティングシステムによって sshd または ssh の場合があります
   systemctl restart sshd || service sshd restart

3. 検証: 操作が完了したら、インスタンスを再起動します。パスワード認証を使用してインスタンスにログインしてみてください。ログイン試行は失敗するはずです。次に、キーペアを使用してログインし、キーペアでのログインが成功することを確認します。