このトピックでは、Elastic Desktop Service (EDS) のポリシーにおけるセキュリティ関連のルールについて説明します。
背景情報
クラウドコンピューターポリシーにおけるセキュリティ関連のルールは以下の通りです。
ユーザーログイン制御：ログイン方法の制御と CIDR ブロックの許可リスト。
表示セキュリティ：画面キャプチャ防止とウォーターマーク。
クリップボード制御：管理粒度とコピー権限。
データセキュリティ：ファイル転送、Web クライアントのファイル転送、フルスピード転送制御。
ネットワークアクセス：セキュリティグループ制御とドメイン名アクセス制御。
画面録画監査。
イメージ管理：イメージのリセット。
エンドユーザーによるカスタムスナップショット。
ユーザーログイン制御
利用シーン
Logon Method Control ルールは、エンドユーザーがクラウドコンピューターに接続するために使用できる Alibaba Cloud Workspace クライアントの種類を制限します。
例：企業のセキュリティを強化するため、管理者は Windows クライアント、macOS クライアントからの接続のみを許可するようにルールを設定します。
CIDR Block Whitelist ルールは、Alibaba Cloud Workspace クライアントがクラウドコンピューターに接続できる IP アドレス範囲を制限します。
例：セキュリティを強化するため、管理者はオフィスネットワークの IP アドレス範囲を許可リストに追加します。これにより、従業員はオフィスからのみクラウドコンピューターに接続でき、他の場所からのアクセスはブロックされます。
パラメーター
パラメーター | 説明 |
ログイン方法の制御 | エンドユーザーが使用できる Alibaba Cloud Workspace クライアントの種類を制限します。オプションは以下の通りです。
デフォルトでは、すべてのオプションが選択されています。必要に応じてクライアントの種類を選択解除できます。 |
CIDR ブロックの許可リスト | Alibaba Cloud Workspace クライアントがクラウドコンピューターに接続できる IP アドレス範囲を指定します。 Add CIDR Block をクリックします。Add CIDR Block ダイアログボックスで、許可する Source CIDR Block を入力し、OK をクリックします。 IP アドレス範囲は CIDR ブロックである必要があります。例： |
表示セキュリティ
利用シーン
Anti-screenshot 機能は、画面キャプチャや録画によるデータ漏えいを防ぐのに役立ちます。
例：建築設計事務所が、設計図の不正コピーを防ぐために、クラウドコンピューターの画面キャプチャ防止ルールを有効にします。これにより、誰もローカルデバイスの画面キャプチャツールを使用して、クラウドコンピューターの画面をキャプチャしたり録画したりすることができなくなります。
Watermark 機能は、データ損失防止のために使用され、抑止と監査の両方のツールとして機能します。
例：広告会社がクラウドコンピューターでウォーターマークを有効にします。従業員が内部ドキュメントのスクリーンショットを撮ると、画像には管理者が定義したウォーターマークが重ねて表示されます。これにより、内部ファイルの漏えいを効果的に抑止し、データ侵害が発生した場合に重要な監査証跡を提供します。
適用性
機能 | 最小イメージバージョン | クライアントと最小バージョン |
画面キャプチャ防止 | N/A | Windows クライアントおよびmacOS クライアント V5.2 |
非表示ウォーターマークの強度 | 1.8.0 | N/A |
写真撮影防止付き非表示ウォーターマーク | 1.8.0 | 任意のクライアント V6.7 |
パラメーター
パラメーター | 説明 |
画面キャプチャ防止 | この機能はデータ漏えいを防止します。有効にすると、エンドユーザーはローカルデバイスの画面キャプチャツールを使用して、クラウドコンピューターの画面をキャプチャしたり録画したりすることができなくなります。 説明
|
ウォーターマーク | この機能はデータ損失防止のために使用され、抑止と監査の両方のツールとして機能します。 表示ウォーターマーク表示ウォーターマークは、画面上に識別可能なオーバーレイです。その内容と表示スタイルを設定できます。
設定中、下のプレビューエリアで表示ウォーターマークのリアルタイムプレビューを確認できます。 非表示ウォーターマーク非表示ウォーターマークは肉眼では識別できません。Elastic Desktop Service (EDS) が提供するデフォルトのアルゴリズムは、悪意のある改ざんを防ぐために、異なる Alibaba Cloud アカウント ID に基づいてウォーターマーク情報を暗号化します。非表示ウォーターマークのパラメーターは以下の通りです。
|
転送ログのクエリ
ファイル転送の詳細なレコードをクエリする方法については、「ファイル転送ログの表示」をご参照ください。
データセキュリティ
適用性
ローカルディスクマッピング
クリップボード制御：
テキストと画像の転送には前提条件は必要ありません。
ファイル転送には、Windows クライアント V7.3 以降が必要です。
きめ細かい制御には、クラウドコンピューターのイメージバージョン 2.4 以降が必要です。それ以外の場合、すべてのコピー操作はブロックされます。
Web クライアントのファイル転送：Allow Upload/Download に設定しても、このポリシーは HDX プロトコルを使用する Linux ベースのクラウドコンピューターには適用されません。このようなクラウドコンピューターでファイル転送を有効にするには、すべての機能が有効になっているデフォルトのシステムポリシーを使用する必要があります。
パラメーター
パラメーター | 説明 |
ローカルディスクマッピング | |
ローカルディスクマッピング | オンプレミスデバイスのディスクを WUYING Workspace のディスクにマッピングします。これにより、WUYING Workspace からローカルディスク上のデータにアクセスできます。オプションは以下の通りです。
|
クリップボード制御 | |
管理粒度 | このパラメーターは、クリップボード権限設定のスコープを決定します。オプションは以下の通りです。
|
テキストコピー権限 | データ型ごとにクリップボード権限を設定します。オプションは以下の通りです。
|
リッチテキスト/画像コピー権限 | |
ファイル/フォルダーコピー権限 | |
最大テキストコピーサイズ | コピーされるテキストの最大サイズを設定します。この制限を超えたテキストは切り捨てられます。 |
データセキュリティ | |
Web クライアントのファイル転送 | Web クライアントを使用して、クラウドコンピューターとローカルデバイス間でファイルを転送できるかどうかを制御します。 |
ネットワークアクセス
ドメイン名アクセス制御
ドメイン名アクセス制御ルールは、クラウドコンピューター内から特定のドメインへのアクセスを許可または拒否します。たとえば、会社の規制に準拠するため、管理者はエンターテインメント関連のドメインを拒否リストに追加して、従業員が業務時間中に仕事に関係のない Web サイトにアクセスするのを防ぐことができます。
利用シーン
デフォルトでは、クラウドコンピューターからのすべてのドメインへのアクセスが許可されています。ドメイン名アクセス制御は、特定のドメインへのアクセスを許可または拒否するために使用され、ドメインアクセスに対する多層的できめ細かい制御をサポートします。
例：次の表にリストされているドメインについて、DNS ルールを設定してきめ細かいアクセス制御を実現できます。
ドメイン | 例 | アクセスポリシー | 説明 |
セカンドレベルドメイン |
| 許可 | クラウドコンピューターが |
サードレベルドメイン |
| 拒否 | クラウドコンピューターが |
| 許可 | クラウドコンピューターが | |
フォースレベルドメイン |
| 拒否 | クラウドコンピューターが |
| 許可 | クラウドコンピューターが | |
| 許可 |
制限事項
ドメインの制限
エンドユーザーがクラウドコンピューターを正常に使用できるようにするため、以下の予約済みセキュリティドメインは DNS ルールの対象外です。これらのドメインへのアクセスは常に許可されます。これらのドメインのアクセスポリシーを [拒否] に設定しても、ルールは有効になりません。
*.gws.aliyun*.aliyun.com*.alicdn.com*.aliyunpds.com*.aliyuncds.com*.aliyuncs.com
オペレーティングシステムの制限
ドメイン名アクセス制御ルールは、Windows オペレーティングシステムを実行するクラウドコンピューターにのみ適用されます。
ルール数の制限
最大 300 個の DNS ルールを作成できます。
パラメーター
Domain Name Access Control (Formerly DNS Feature) セクションで、Add Rule をクリックします。Add Rule ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。
パラメーター | 説明 |
ドメイン名 | DNS ルールを設定するドメイン名を入力します。一度に追加できるドメイン名は 1 つだけです。 |
説明 | DNS ルールのカスタム説明。 |
アクセスポリシー | Allow または Reject を選択します。 説明
|
セキュリティグループ制御
セキュリティグループは、クラウドコンピューターのインバウンドおよびアウトバウンドトラフィックを制御してセキュリティを強化するためのセキュリティメカニズムです。
利用シーン
セキュリティグループルールは、方向、ポリシー、優先度、プロトコルタイプ、ポート範囲などのプロパティによって定義されます。クラウドコンピューターとのデータ通信を確立する前に、システムは関連するポリシーのセキュリティグループルールに対してリクエストを評価し、アクセスを許可するかどうかを決定します。
ポリシーが [許可] のルールの場合、アクセスリクエストがルールに一致すれば、リクエストは許可されます。
ポリシーが [拒否] のルールの場合、アクセスリクエストがルールに一致すれば、リクエストはブロックされ、データパケットは即座に破棄されます。
インバウンドまたはアウトバウンドのセキュリティグループ制御ルールを追加して、クラウドコンピューターのトラフィックをさらに制御できます。以下は、セキュリティグループ制御ルールの設定例です。
シナリオ 1
デフォルトでは、クラウドコンピューターからのすべてのアウトバウンドアクセスが許可されています。特定のアドレスへのアクセスのみを許可するには、次のアウトバウンドルールを追加できます。
ルール 1：すべてのアウトバウンドアクセスを拒否します。例：
方向
ポリシー
優先度
プロトコルタイプ
ポート範囲
承認オブジェクト
アウトバウンド
拒否
2
すべて
-1/-1
0.0.0.0/0
ルール 2：特定の IP アドレスへのアクセスを許可します。このルールの優先度はルール 1 よりも高くする必要があります。例：
方向
ポリシー
優先度
プロトコルタイプ
ポート範囲
承認オブジェクト
アウトバウンド
許可
1
適用可能なプロトコルタイプを選択します。
適切なポート範囲を設定します。
アクセスを許可する IP アドレス。例：192.168.1.1/32。
シナリオ 2
VPC 環境では、インバウンドルールを追加して、特定の IP アドレスからクラウドコンピューターへのアクセスを許可できます。例：
方向 | ポリシー | 優先度 | プロトコルタイプ | ポート範囲 | 承認オブジェクト |
インバウンド | 許可 | 1 | 適用可能なプロトコルタイプを選択します。 | 適切なポート範囲を設定します。 | アクセスを許可する IP アドレス。例：192.168.1.1/32。 |
シナリオ 3
クラウドコンピューター A がポリシー A に、クラウドコンピューター B がポリシー B に関連付けられているとします。VPC 環境では、デフォルトですべてのインバウンドアクセスが拒否されるため、クラウドコンピューター A とクラウドコンピューター B は互いに通信できません。ポリシー A とポリシー B に次のインバウンドルールを追加して、それらの間のネットワーク通信を有効にできます。
ポリシー A で、クラウドコンピューター B からのアクセスを許可するインバウンドルールを追加します。例：
方向
ポリシー
優先度
プロトコルタイプ
ポート範囲
承認オブジェクト
インバウンド
許可
1
適用可能なプロトコルタイプを選択します。
適切なポート範囲を設定します。
クラウドコンピューター B の IP アドレス。
ポリシー B で、クラウドコンピューター A からのアクセスを許可するインバウンドルールを追加します。例：
方向
ポリシー
優先度
プロトコルタイプ
ポート範囲
承認オブジェクト
インバウンド
許可
1
適用可能なプロトコルタイプを選択します。
適切なポート範囲を設定します。
クラウドコンピューター A の IP アドレス。
制限事項
ルール数の制限
最大 200 個のセキュリティグループ制御ルールを作成できます。
インバウンドルールの制限
デフォルトでは、クラウドコンピューターはすべてのアウトバウンドアクセスを許可します。インバウンドアクセスは次の原則に従います。
インターネット経由では、クラウドコンピューターはインバウンドアクセスをサポートしていません。セキュリティグループのインバウンドルールを [許可] に設定しても、そのルールは有効になりません。
VPC 環境では、クラウドコンピューターはデフォルトですべてのインバウンドアクセスを拒否します。ただし、セキュリティグループのインバウンドルールを [許可] に設定して、特定のアクセスリクエストを許可することができます。
パラメーター
Security Group Control セクションで、Add Rule をクリックします。Add Rule ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。
パラメーター | 説明 |
方向 |
|
ポリシー |
|
優先度 | 1 から 60 までの値で、値が小さいほど優先度が高くなります。優先度の高いルールが優先されます。 |
プロトコルタイプ | TCP、UDP、ICMP (IPv4)、および GRE がサポートされています。 |
ポート範囲 | アプリケーションまたはプロトコルが使用するポート。選択したプロトコルタイプが [カスタム TCP] または [カスタム UDP] の場合、カスタムポートを設定できます。特定のポート (例： |
承認オブジェクト | CIDR 形式の IPv4 アドレス範囲。 |
説明 | ルールのカスタム説明。 |
次のステップ
デフォルトでは、クラウドコンピューターはすべてのインバウンドトラフィックを拒否しますが、すべてのアウトバウンドトラフィックを許可します。これは、すべてのアウトバウンドアクセスを許可するデフォルトルールによって管理されます。追加したアウトバウンドルールは、デフォルトルールと競合します。ご利用のクラウドコンピューターが属するオフィスネットワークによっては、新しいルールを有効にするためにデフォルトルールの優先度を調整する必要がある場合があります。
新しいオフィスネットワーク (ID 形式：`リージョン ID+dir+10 桁の数字`) を使用している場合、デフォルトルールの優先度が最も低いため、追加したルールは追加の手順なしで即座に有効になります。
古いバージョンからアップグレードされたオフィスネットワーク (ID 形式：`リージョン ID+dir+17 文字の英数字`) を使用している場合、デフォルトルールの優先度が最も高くなります。デフォルトルールの優先度を手動で調整する必要があります。これを行うには、次の手順を実行します。
クラウドコンピューターが属するオフィスネットワークを見つけ、そのオフィスネットワーク ID をクリックします。
オフィスネットワーク詳細ページで、セキュリティグループ ID をクリックします。
[セキュリティグループ] ページで、セキュリティグループ ID をクリックします。
[セキュリティグループルール] ページで、Outbound タブをクリックし、対応するルールの優先度を変更します。
優先度を 60 に設定することを推奨します。これにより、手動で追加したアウトバウンドルールが即座に有効になります。
エンドユーザーによるカスタムスナップショット
エンドユーザーによるカスタムスナップショット
エンドユーザーによるカスタムスナップショットルールを使用すると、エンドユーザーがクライアントで独自の復元ポイントを作成できるかどうかを制御できます。
利用シーン
エンドユーザーは復元ポイントを使用して、クラウドコンピューター上のデータをバックアップおよび復元できます。たとえば、重要なシステムファイルの変更などの高リスク操作を実行する前に復元ポイントを作成できます。
操作ミスやリソースの無駄を防ぐため、管理者はこのポリシーを使用して、エンドユーザーによるカスタム復元ポイントの作成を管理できます。
制限事項
この機能は、クラウドコンピューターが単一のユーザーに割り当てられている場合にのみ利用できます。
パラメーター
[エンドユーザーによるカスタムスナップショット] オプションが [有効] の場合、エンドユーザーはクラウドコンピューターのデスクトップカードの [管理] ページでカスタム復元ポイントを作成できます。
[エンドユーザーによるカスタムスナップショット] オプションが [無効] の場合、カスタム復元ポイント機能はエンドユーザーの [管理] ページから非表示になります。