Create a control policy and associate it with assets and users - Bastionhost

Erişim denetimleri olmadığında işletim ve bakım mühendisleri herhangi bir komutu çalıştırabilir, herhangi bir kaynak IP adresinden bağlanabilir ve gözetim olmadan varlıklara oturum açabilir. Kontrol ilkeleri Bastionhost'taki işletim ve bakım işlemlerine güvenlik sınırları uygulamanızı sağlar—yüksek riskli komutları engeller veya onay gerektirir, protokol erişimini kısıtlar, kaynak IP adreslerini sınırlar ve mühendislerin varlıklara ulaşabilmesi için oturum açma onayı şartı koşar.

Önkoşullar

Başlamadan önce şunlara sahip olduğunuzdan emin olun:

Alibaba Cloud hesabınızda dağıtılmış bir Bastionhost örneği
Bastionhost konsoluna yönetici erişimi

Adım 1: Bir kontrol ilkesi oluşturun

Bastionhost konsolunda oturum açın. Üst gezinme çubuğunda Bastionhost örneğinizin bulunduğu bölgeyi seçin.
Örnek listesinde hedef örneği bulun ve YönetManage seçeneğine tıklayın.
Sol gezinme bölmesinde Kontrol İlkeleriControl Policies seçeneğine tıklayın.
Kontrol İlkeleriControl Policies sayfasında Kontrol İlkesi OluşturCreate Control Policy seçeneğine tıklayın.
Aşağıda açıklanan parametreleri yapılandırın ve ardından Kontrol İlkesi OluşturCreate Control Policy seçeneğine tıklayın.

Öncelik

Geçerli değerler: 1–100. Varsayılan: 1 (en yüksek öncelik).

Birden çok ilke aynı önceliğe sahip olduğunda en son oluşturulan ilke geçerli olur. Bir komut denetim ilkesi ile bir komut onay ilkesi aynı komutla eşleştiğinde uygulama sırası şu şekildedir: reddet > izin ver > onayla.

Komut ilkesi

Ana bilgisayar komut ilkeleri

Not

Ana bilgisayar komut ilkeleri yalnızca Linux ana bilgisayarları için geçerlidir.

İlkenin kapsadığı kullanıcılar ve ana bilgisayarlar için hangi komutlara izin verileceğini veya engelleneceğini belirtmek üzere Denetim Gerektiren KomutlarCommands That Require Control seçeneğini kullanın:

(Kara Liste) Listelenen Komutlara İzin Verilmez(Blacklist) Listed Commands Are Not Allowed: Listelenen komutları engeller. Alanı boş bırakabilirsiniz. Çoğu komut kabul edilebilir olduğunda ve yalnızca bilinen bir yüksek riskli işlem kümesini engellemek istediğinizde bu modu kullanın.
(Beyaz Liste) Yalnızca Listelenen Komutlara İzin Verilir(Whitelist) Only Listed Commands Are Allowed: Yalnızca listelenen komutlara izin verir. Alan zorunludur. Sıkı denetime ihtiyaç duyduğunuzda ve izin verilen tüm komutları tek tek belirtebildiğinizde bu modu kullanın.

Çalıştırılmadan önce yönetici onayı gerektiren komutları işaretlemek için Onay Gerektiren KomutlarCommands That Require Approval seçeneğini kullanın. Bir kullanıcı işaretlenmiş bir komutu çalıştırdığında komut Bastionhost konsolunda bir yönetici onaylayana veya reddedene kadar bekletilir. Ayrıntılar için Komutları inceleyin konusuna bakın.

Not

Komut denetim ilkesi (kara liste/beyaz liste) komut onay ilkesine göre önceliklidir. Denetim ilkesi tarafından engellenen bir komut asla onaya gönderilmez.

Ana bilgisayar komutları için önerilen ilkeler

Aşağıdaki tabloda yüksek riskli komutlar ve her biri için önerilen ilke listelenmiştir.

Komut	Açıklama	Önerilen ilke
`reboot`	Sistemi yeniden başlatır	Onay gerektir
`restart`	Sistemi yeniden başlatır	Onay gerektir
`shutdown`	Sistemi kapatır	Onay gerektir
`halt`	Sistemi kapatır	Onay gerektir
`poweroff`	Sistemi kapatır	Onay gerektir
`init 0`	Sistemi durdurur	Onay gerektir
`pkill`	Birden çok işlemi sonlandırır	Onay gerektir
`kill`	Tek bir işlemi sonlandırır	Onay gerektir
`rm -rf`	Dizinleri istem olmadan yinelemeli olarak siler	Onay gerektir
`mount`	Bir dosya sistemini bağlar (virüs çoğaltma riski)	Onay gerektir
`umount`	Bir dosya sistemini ayırır	Onay gerektir
`parted`	Bir dosya sistemini bölümlere ayırır	Onay gerektir
`format`	Diski biçimlendirir	Kara liste
`dd if=/dev/zero of=/dev/had`	Diski temizler	Kara liste
`:(){:\|:&};:`	Fork bombası oluşturur	Kara liste
`(mv)(\|.*)(/dev/null)`	Bir dizini /dev/null konumuna taşır	Kara liste
`(wget)(\|.*)(-O- \| sh)`	Bir dosyayı indirir ve hemen çalıştırır	Kara liste
`mkfs.ext3 *`	Diski biçimlendirir	Kara liste
`dd if=/dev/random of=/dev/*`	Blok cihaza rastgele veri yazar	Kara liste

Veritabanı komut ilkeleri

Hangi veritabanı komutlarına izin verileceğini veya engelleneceğini belirtmek için Denetim Gerektiren KomutlarCommands That Require Control seçeneğini kullanın:

(Kara Liste) Listelenen Komutlara İzin Verilmez(Blacklist) Listed Commands Are Not Allowed: Listelenen komutları engeller. Alanı boş bırakabilirsiniz.
(Beyaz Liste) Yalnızca Listelenen Komutlara İzin Verilir(Whitelist) Only Listed Commands Are Allowed: Yalnızca listelenen komutlara izin verir. Alan zorunludur.

Eşleşme ModuMatch Mode için SQL ayrıştırma ile normal ifade eşleştirme arasında seçim yapın.

Protokol denetimi

İlkenin hangi işlemlere izin verdiğini tanımlamak için RDP SeçenekleriRDP Options, SSH SeçenekleriSSH Options ve SFTP SeçenekleriSFTP Options öğelerini yapılandırın. Örneğin Dosya YüklemeFile Upload özelliğini etkinleştirmek kullanıcıların işletim ve bakım oturumları sırasında dosya yüklemesine olanak tanır.

Kanal kilitlenmesini önleme

Önemli

SSH KanalıSSH Channel veya SFTP KanalıSFTP Channel seçeneklerinden en az birini seçin. SSH KanalıSSH Channel seçeneğinin işaretini kaldırmak ilkenin kapsadığı tüm hesaplar için SSH tabanlı oturum açmayı devre dışı bırakır—dikkatli ilerleyin.
Bir ana bilgisayar hesabı için Yalnızca SFTP İzni EtkinEnable Only SFTP Permission ayarlanmışsa kontrol ilkesinde hem SSH KanalıSSH Channel hem de SFTP KanalıSFTP Channel seçeneklerini devre dışı bırakmayın. Böyle yapılması ana bilgisayar hesabının Bastionhost üzerinden ana bilgisayara erişmesini engeller.

Erişim denetimi

İlkenin kapsadığı varlıklara hangi kaynak IP adreslerinden erişilebileceğini denetleyin:

(Beyaz Liste) Yalnızca Listelenen IP Adreslerine İzin Verilir(Whitelist) Only Listed IP Addresses Are Allowed: Yalnızca IP AdresleriIP Addresses alanındaki IP adresleri bağlanabilir. Alan zorunludur.
(Kara Liste) Listelenen IP Adreslerine İzin Verilmez(Blacklist) Listed IP Addresses Are Not Allowed: IP AdresleriIP Addresses alanındaki IP adresleri engellenir. Alanı boş bırakabilirsiniz.

Oturum açma denetimi

İşletim ve Bakım OnayıO&M Approval: Etkinleştirildiğinde işletim ve bakım mühendislerinin varlıklara oturum açabilmesi için bir işletim ve bakım başvurusu göndermesi ve yönetici onayını beklemesi gerekir.
Oturum Açma NotlarıLogon Remarks: Etkinleştirildiğinde işletim ve bakım personelinin web sayfası tabanlı işletim ve bakım, SSO tabanlı işletim ve bakım gerçekleştirirken veya işletim ve bakım belirteçleri için başvuruda bulunurken not girmesi gerekir.

Adım 2: İlkeyi varlıklar ve kullanıcılarla ilişkilendirin

Bir kontrol ilkesi hem varlıklar hem de kullanıcılarla ilişkilendirilmediği sürece etkili olmaz. Kontrol ilkesinin yürürlüğe girmesi için İlkenin Eklendiği Varlıklar ve KullanıcılarAssets and Users to Which Policy Is Attached sayfasında ilkeyi varlıklar ve kullanıcılarla ilişkilendirin.

Varlıklarla ilişkilendirme

Kapsamınıza bağlı olarak aşağıdaki seçeneklerden birini seçin:

Seçenek	Ne zaman kullanılır	Sonraki adım
Tüm Varlıklarda GeçerliTakes Effect on All Assets	İlkeyi Bastionhost örneğindeki tüm varlık hesaplarına uygular	Ek seçim gerekmez
Seçili Tüm Varlıklarda GeçerliTakes Effect on Selected All Assets	İlkeyi yalnızca belirli varlıklara uygular	Varlıkları seçin; ardından Tüm Hesapları İlişkilendirAssociate All Accounts veya Belirli Hesapları İlişkilendirAssociate Specific Accounts seçeneğini belirleyin.

Not

Bir ilkeyi aynı anda birden çok varlığa uygulamak için önce bunları bir varlık grubuna ekleyin ve ardından ilkeyi grupla ilişkilendirin.

Kullanıcılarla ilişkilendirme

Aşağıdaki seçeneklerden birini seçin:

Tüm Kullanıcılara UygulaApply to All Users: İlkeyi tüm kullanıcılara uygular.
Seçili Kullanıcılara UygulaApply to Selected Users: Belirli kullanıcıları seçin.

Sonraki adımlar

Komutları inceleyin: Bir komut onay ilkesi tarafından işaretlenen komutları onaylayın veya reddedin.
Bir işletim ve bakım başvurusunu inceleyin: İşletim ve Bakım OnayıO&M Approval etkinleştirildiğinde işletim ve bakım başvurularını onaylayın veya reddedin.