Elastic Compute Service:インスタンスへのログインにおける弱いパスワードの使用回避

Linux インスタンス

パスワード認証よりも安全なキーペア認証を推奨します。

Windows インスタンス

強力なパスワード認証の使用を推奨します。キーペア認証は Windows インスタンスではサポートされていません。

インスタンス購入ページでインスタンスを作成する際、ログインクレデンシャル を パスワード に設定します。その後、プロンプトに従って強力な ログインパスワード を設定します。

• 以下の要件を満たす強力なパスワードを作成します。

  • 8 文字以上であること。

  • 大文字 (A～Z)、小文字 (a～z)、数字 (0～9)、特殊文字 (~、!、@、$, %、^、&、*、-、_、=、+、#、/、?) のうち、3 種類以上を含むこと。

  • ユーザー名またはユーザー名を逆にした文字列でないこと。

• 一般的または公知の弱いパスワードを使用しないでください。弱いパスワードの例は次のとおりです。

  • abcd1234、admin、root、admin@123 など、一般的に知られている弱いパスワード。

  • 123456、abcdef、123abc、qwerty、1qaz2wsx など、連続した文字やキーボードの配列パターン。

  • 5201314 や woaini1314 などの一般的なフレーズ。

  • 会社名、誕生日、氏名、ID 番号、電話番号、メールアドレス、ユーザー ID、年などの個人情報。

• パスワードは 90 日ごとに変更することを推奨します。

チェック：Linux インスタンスのキーペア認証不使用

ブロック：Linux インスタンスのパスワード認証の禁止

組織またはアカウントレベルで Resource Access Management (RAM) ポリシーを使用して、Linux インスタンスのパスワードを設定するアクションを事前にブロックします。

• エンタープライズユーザーの場合：

  1. Alibaba Cloud アカウントでリソースディレクトリコンソールにログインします。左側のナビゲーションウィンドウで [コントロールポリシー] をクリックし、カスタムコントロールポリシーを作成します。次の JSON コンテンツを貼り付けます。

     このポリシーは、インスタンスの作成、システムディスクのアタッチまたは交換、インスタンス属性の変更、またはパスワードのリセット時にパスワード認証を使用することを拒否します。

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     },
                     "StringEquals": {
                         "ecs:ImagePlatform": "linux"
                     }
                 },
                 "Effect": "Deny"
             },
             {
                 "Action": [
                     "ecs:ModifyInstanceAttribute",
                     "ecs:InvokeCommand",
                     "ecs:AttachDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordCustomized": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. リソースディレクトリで、適切なノードにコントロールポリシーをアタッチします。ポリシーは、そのノード配下のアカウントに対してこれらのアクションをブロックします。

• 非エンタープライズユーザーの場合：

  1. Alibaba Cloud アカウントで RAM コンソールにログインします。左側のナビゲーションウィンドウで、権限付与ポリシー をクリックします。上記と同じ JSON コンテンツでカスタム権限ポリシーを作成します。

  2. カスタム権限ポリシーをアタッチして、RAM ユーザー、RAM ユーザーグループ、または RAM ロールに権限を付与します。

修正：インスタンスのキーペアログインへの切り替え

パスワード認証を使用している既存の Linux インスタンスを見つけた場合は、キーペア認証に切り替えます。

1. キーペアのバインド：既存のキーペアをバインドするか、新しいキーペアを作成してバインドします。

   キーペアをアタッチした後、そのキーペアでインスタンスにログインできることを確認します。

2. パスワードログインの無効化：インスタンスにログインし、次のスクリプトを実行して SSH サービスの設定ファイルを変更します。

   #!/bin/bash
   # 元の設定ファイルをバックアップします。
   cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak_$(date +%F)
   # パスワード認証を無効化します：PasswordAuthentication パラメーターを no に変更します。
   sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   # 変更を有効にするために SSH サービスを再起動します。
   # コマンドはオペレーティングシステムによって sshd または ssh になります。
   systemctl restart sshd || service sshd restart

3. 結果の確認：インスタンスを再起動します。パスワードベースのログインが失敗し、キーペアでのログインが成功することを確認します。