Workbench は、有効期間が 60 秒のみの一時的な SSH キーペアを使用して、静的なパスワードや長期 SSH キーペアなしで Elastic Compute Service (ECS) インスタンスにログインします。
一時的なキーペアによるパスワードレスログインを使用する理由
パスワードや長期 SSH キーペアなどの静的な認証情報は、無期限に有効です。漏洩した場合、永続的なサーバーアクセスが可能になり、配布、ローテーション、失効の管理はエラーが発生しやすくなります。一時的なキーペアは、これらのリスクを排除します。
主な利点 | 説明 |
認証情報の漏洩リスクの低減 | ユーザーは永続的なパスワードやキーを扱う必要がなく、人為的なミスによる認証情報の漏洩リスクが軽減されます。 |
ブルートフォース攻撃に対する防御 | ログイン認証情報は 1 回限りの使用のために生成され、60 秒後に失効するため、ECS インスタンスに対するブルートフォース攻撃のリスクが大幅に軽減されます。 |
集中権限管理 | Resource Access Management (RAM) のアクセスポリシーを使用して、インスタンスにログイン可能なユーザーをきめ細かく制御できます。 |
仕組み
一時的なキーペアによるログイン でも認証は必要です。静的な認証情報を Alibaba Cloud が管理する集中認証方式に置き換えるものです。
パスワードレスログインの開始：コンソールからインスタンスへのパスワードレスログインを開始します。
RAM 権限の検証： Workbench は、現在の RAM ユーザーがターゲットインスタンスにログインする権限があるかどうかを検証します。
一時的な SSH キーペアの生成： 権限検証後、Workbench は有効期間が 60 秒の 1 回限りの SSH キーペア (公開鍵と秘密鍵) を生成します。秘密鍵は Workbench サーバーに一時的に保存されます。
インスタンスへの公開鍵の送信： Workbench は、ECS インスタンスにインストールされている クラウドアシスタントエージェント を通じて、一時的な公開鍵をインスタンスに送信します。
SSH 認証の完了と接続の確立: Workbench は、サーバーに保存されている一時的なプライベートキーを使用して、インスタンスの SSH サービスで公開鍵認証を完了し、接続を確立します。
キーペアの自動破棄： 60 秒 の有効期間が経過すると、ログインの成否にかかわらず、一時的なキーペアは破棄されます。公開鍵は ECS インスタンスから削除され、秘密鍵は Workbench から削除されるため、各キーは 1 回のみ使用されます。