Elastic Compute Service:オペレーティングシステムのセキュリティ

キーペアを使用したインスタンスログイン

キーペアは公開鍵と秘密鍵で構成され、パスワードの代わりに ECS インスタンスの認証に使用されます。Alibaba Cloud は、RSA 2048 ビット暗号化でデフォルトのキーペアを生成します。利点は以下の通りです：

• ブルートフォース攻撃を防ぎます。

• 一度設定すれば、以降はパスワード入力が不要です。

詳細については、「Workbench を使用した Linux インスタンスへのログイン」および「OpenSSH または Xshell を使用した Linux インスタンスへの接続」をご参照ください。

セッションマネージャーによるパスワードレスログイン

クラウドアシスタントの機能であるセッションマネージャーは、ECS インスタンスへのセキュアなパスワードレスアクセスを提供します：

• WebSocket Secure (WSS) プロトコルを使用して、セッションマネージャークライアント、クラウドアシスタントサーバー、クラウドアシスタントエージェント間の接続を暗号化します。

• Resource Access Management (RAM) を通じて認証を行うため、パスワード管理とそれに伴うセキュリティリスクが不要になります。

• インバウンドポートを開くことなくクラウドアシスタントエージェントを介して接続するため、攻撃対象領域を縮小します。

詳細については、「セッションマネージャーを使用した接続」をご参照ください。

0.0.0.0/0 からのポートアクセスの制限

Linux は SSH (ポート 22)、Windows は RDP (ポート 3389) をリモート接続に使用します。これらのポートで 0.0.0.0/0 からのアクセスを許可すると、インスタンスが不正なログインにさらされる可能性があります。インスタンスレベルの仮想ファイアウォールとしてセキュリティグループを使用して、ネットワークアクセス制御を適用します。詳細については、「セキュリティグループの概要」および「セキュリティグループに関連付けられたリソースの管理」をご参照ください。

OOS パッチベースラインによるパッチ更新の自動化

CloudOps Orchestration Service (OOS) は、デフォルトまたはカスタムのパッチベースラインに基づいて ECS インスタンスのパッチをスキャンしてインストールします。セキュリティ関連の更新など、特定の更新カテゴリを選択して自動インストールできます。詳細については、「パッチ管理の概要」をご参照ください。

Alibaba Cloud Linux 向けカーネルライブパッチ

Alibaba Cloud Linux のカーネルライブパッチ (KLP) は、サーバーの再起動、プロセスの割り込み、ワークロードの移行を行うことなく、CVE やカーネルの重大なバグに対するホットフィックスを適用します。詳細については、「Kernel Live Patching」をご参照ください。

無料基本セキュリティサービスの使用

Alibaba Cloud は、パブリックイメージを使用する新しい ECS インスタンスに、Security Center Basic Edition などの基本的なセキュリティサービスを提供しています。このエディションは、サーバーの脆弱性スキャンや異常ログインアラートなどのセキュリティ強化機能を提供します。高度なセキュリティニーズには、Security Center Advanced Edition および Enterprise Edition を利用できます。詳細については、「基本セキュリティサービス」をご参照ください。

ログ監査

コンプライアンス