Elastic Desktop Service:ID とアクセスの管理

1.1 管理者アカウントとしての RAM ユーザーの使用

過剰なアクセスに伴う潜在的なリスクを軽減するため、すべてのクラウドリソースへのフルアクセス権を持つ Alibaba Cloud アカウントを管理者アカウントとして使用することは避けてください。代わりに、管理者権限を持つ Resource Access Management (RAM) ユーザーを作成して EDS Enterprise コンソールにログインし、特定のビジネスニーズに応じてこの RAM ユーザーに権限を割り当ててください。

1.2 エンドユーザーアカウントのライフサイクル管理

EDS Enterprise の管理者は、クラウドリソース (クラウドコンピューターなど) をエンドユーザーに割り当てることができます。アカウントのライフサイクル全体でセキュリティを維持するために、必要に応じて次の操作を実行してください：

• エンドユーザーが使用しなくなったクラウドコンピューターは、速やかに回収してください。

• 必要に応じて、エンドユーザーアカウントを無効化してください。

• 不要になったアカウントは、速やかに削除してください。

1.3 パスワード有効期間の設定

デフォルトでは、エンドユーザーアカウントのパスワードは無期限に有効です。ただし、パスワードの有効期間を 30 日から 365 日の間で設定できます。パスワードの有効期限が切れると、所有者は再度ログインする前にパスワードを変更する必要があります。

2.1 RAM ベースの階層的な管理者アクセス制御

EDS Enterprise では、Resource Access Management (RAM) を使用して権限を管理でき、異なる RAM ユーザーがクラウドコンピューターの特定の側面を処理できるようにします。これにより、詳細なアクセスの制御が可能になり、管理が効率化されます。

2.2 Alibaba Cloud Workspace アカウントシステムベースの階層的な管理者アクセス制御

EDS コンソールへのログインに使用する Alibaba Cloud アカウントは、EDS の機能とリソースに対する完全な権限を持っています。企業が複雑な組織構造、複数の部門、多数の従業員とクラウドコンピューターを抱えている場合、1 人の管理者ですべてのタスクを管理するには不十分です。さらに、管理者が 1 人だけでは、ビジネスの権限隔離要件を満たせません。このシナリオでは、メイン管理者はタスクの管理を支援するために 1 人以上のサブ管理者を必要とします。この状況では、以下の要件を満たす必要があります：

• サブ管理者ごとに権限レベルが異なります。たとえば、サブ管理者 A はユーザーの作成と管理はできますが、クラウドコンピューターの作成と管理はできず、サブ管理者 B はデータの表示のみ可能で、他の操作はできません。

• 異なるデータへのアクセスは、特定の権限に制限されます。たとえば、サブ管理者 C は研究開発部門のクラウドコンピューターのみを表示および管理する権限を持ち、サブ管理者 D は設計部門のクラウドコンピューターのみを表示および管理する権限を持ちます。

EDS Enterprise の権限管理モジュールは、前述の要件に対応します。

3.1 多要素認証 (MFA)

多要素認証 (MFA) は、ユーザー名とパスワードだけに頼るのではなく、追加の保護層を加えるシンプルで効果的なセキュリティ対策です。管理者が EDS Enterprise コンソールにログインする際や、エンドユーザーがターミナルにアクセスする際に二次認証を要求することで、アカウントとクラウドリソースのセキュリティを強化します。このプロセスは、AccessKey ペアを使用した API 呼び出しには影響しません。

3.2 許可されたターミナルの指定

各端末には、UUID と呼ばれる一意で改ざん不可能な識別子があり、これが信頼できる ID として機能します。この UUID はグローバルに一意であり、偽造できないため、安全な認証が保証されます。管理者は信頼できるデバイス認証を有効にして、エンドユーザーのログインを指定された端末のみに制限できます。信頼できるデバイス認証が有効になると、エンドユーザーは許可されていない端末からクラウドコンピューターにアクセスできなくなります。

3.3 クライアントログイン検証

この機能はデフォルトで無効になっています。この機能を有効にすると、エンドユーザーが新しいデバイスから WUYING ターミナルにログインする際に、メールの検証コードを使用して検証を完了する必要があります。検証が成功した場合にのみ、ユーザーは正常にログインできます。

4.1 ターミナルアクセスの制御

クラウドコンピューターポリシーを使用すると、ログイン方法の制御と IP アドレスのホワイトリストを通じてターミナルアクセスを管理できます。セキュリティを強化するために、これらのポリシーを設定して、エンドユーザーがクラウドコンピューターにアクセスする際に特定のターミナルタイプと承認された IP アドレス範囲に制限することを推奨します。

• [ログイン方法の制御] パラメーターを設定して、エンドユーザーが使用できる Alibaba Cloud Workspace ターミナルのタイプを選択できます。

  例：企業のセキュリティを確保するため、管理者はこのパラメーターを Windows クライアントと macOS クライアントに設定します。

• [CIDR ブロックのホワイトリスト] パラメーターを設定して、Alibaba Cloud Workspace ターミナルからクラウドコンピューターへのアクセスが許可される CIDR ブロックを指定できます。

  例：企業のセキュリティを強化するため、管理者はすべてのオフィスベースの Alibaba Cloud Workspace ターミナルの CIDR ブロックをホワイトリストに追加します。これにより、従業員はこれらのホワイトリストに登録された Alibaba Cloud Workspace ターミナルからのみクラウドコンピューターに接続できるようになります。

4.2 タイムアウトによる自動ログアウト

デフォルトでは、タイムアウトによる自動ログアウトは無効になっています。この機能を有効にすると、エンドユーザーが指定されたタイムアウト期間内にクラウドコンピューター、アプリケーション、電話、エンタープライズドライブなどのクラウドリソースに接続しない場合、Alibaba Cloud Workspace ターミナルは自動的にエンドユーザーをログオフします。この機能は、非アクティブなセッションを速やかに終了させることで、データセキュリティを強化します。