Elastic Compute Service:インスタンスの O&M ポートのソース IP アドレスを制限する

チェック: O&M ポートをすべての IP アドレスに開放しているセキュリティグループを検索する

ブロック: 禁止 O&M ポートへの任意の IP アドレスからのアクセスを許可するインスタンス作成操作

組織またはアカウントレベルで RAM ポリシーを使用して、任意の IP アドレスからのアクセスを許可するセキュリティグループルールをブロックします。

• エンタープライズユーザーの場合:

  1. Alibaba Cloud アカウントを使用して リソースディレクトリコンソールにログインします。左側のメニューバーで、[コントロールポリシー] をクリックします。次に、カスタムポリシーを作成し、次の JSON コンテンツを貼り付けます。

     このポリシーは、インスタンスを作成する操作、または任意の IP アドレスからのアクセスを許可するセキュリティグループを作成または変更する操作を拒否します。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. リソースディレクトリで、適切なノードを選択してポリシーをアタッチします。ポリシーは、そのノード配下のすべてのアカウントに対してこれらの操作をブロックします。

• 非エンタープライズユーザーの場合:

  1. Alibaba Cloud アカウントを使用して RAM コンソールにログインします。左側のナビゲーションウィンドウで、[ポリシー] をクリックします。次に、前のセクションで説明したのと同じ内容でカスタムポリシーを作成します。

  2. RAM ユーザー、RAM ユーザーグループ、または RAM ロールにアクセスポリシーを付与します。詳細については、「アクセスポリシーの権限付与の管理」をご参照ください。

修復: セキュリティグループルールを変更する

既存のセキュリティグループルールを変更します。権限付与オブジェクトを 0.0.0.0/0 から特定の信頼できる IP アドレス範囲に変更します。

1. 安全でないルールの特定: [チェック] セクションで説明されている方法を使用して、脅威をもたらすセキュリティグループとルールを見つけます。

2. ルールの変更:

   1. ECS コンソール - セキュリティグループ ページに移動します。ターゲットのセキュリティグループを見つけ、[操作] 列の [ルールの管理] をクリックします。

   2. ポート 22 のルールなど、権限付与オブジェクトとして 0.0.0.0/0 を使用する関連ルールを見つけます。[変更] をクリックします。権限付与オブジェクトを信頼できるソース IP アドレスに更新し、[保存] をクリックします。