Elastic Compute Service:インスタンスの O&M ポートへの IP アクセス制限

無制限のポートアクセスのチェック

O&M ポートが無制限に公開されているインスタンスのブロック

組織またはアカウントレベルで、RAM ポリシーを使用して、任意の IP アドレスからの無制限のアクセスを許可するセキュリティグループルールを事前にブロックします。

• 企業ユーザー向け：

  1. Alibaba Cloud アカウントを使用してResource Directory コンソールにログインします。左側メニューで [コントロールポリシー] をクリックし、カスタム権限ポリシーを作成して、次の JSON コンテンツを貼り付けます。

     このポリシーは、インスタンスの作成、および無制限のポートアクセスを許可するセキュリティグループルールの作成または変更を拒否します。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Resource Directory で、コントロールポリシーを適切なノードにアタッチします。ポリシーは、そのノード配下のすべてのアカウントに対して有効になります。

• 非企業ユーザー向け：

  1. Alibaba Cloud アカウントを使用してRAM コンソールにログインします。左側メニューで 権限付与ポリシー をクリックし、上記のポリシーと同じ内容のカスタム権限ポリシーを作成します。

  2. RAM ユーザー、RAM ユーザーグループ、または RAM ロールに権限ポリシーを付与します。

修正：セキュリティグループルールの変更

既存のセキュリティグループルールを変更して、ソースを 0.0.0.0/0 から特定の信頼できる IP アドレス範囲に変更します。

1. 安全でないルールの特定：「チェック」セクションで説明されている方法を使用して、リスクのあるセキュリティグループとルールを見つけてください。

2. ルールの変更：

   1. ECS コンソール - セキュリティグループページに移動します。対象のセキュリティグループを見つけ、操作 列の ルールの管理 をクリックします。

   2. 対応するルール (たとえば、ソースが 0.0.0.0/0 のポート 22 のルール) を見つけます。変更 をクリックし、ソースを信頼できるソース IP アドレスに更新してから、OK をクリックします。