Allow only HTTPS access to ECS OpenAPI - Elastic Compute Service

AccessKey kimlik bilgilerini ve hassas verileri dinleme ile ara kişi saldırılarına karşı korumak amacıyla ECS OpenAPI erişimini HTTPS ile sınırlayın.

Güvenlik riskleri

HTTP, ECS OpenAPI isteklerini düz metin olarak iletir. Yönlendiriciler, anahtarlar veya ağ operatörleri gibi aradaki herhangi bir düğüm içeriğin tamamını okuyabilir. Bu durum aşağıdaki güvenlik risklerini doğurur:

Kimlik bilgisi ve veri ihlali: API istekleri AccessKey gibi kimlik bilgilerini, örnek kimliklerini ve disk verilerini içerir. HTTP üzerinden bu bilgiler düz metin olarak açığa çıkar. Bir saldırgan ağ koklama yoluyla bu bilgileri ele geçirebilir ve hesabınızı tehlikeye atabilir.
Ara kişi (MitM) saldırısı: Saldırgan iletişimi dinleyebilir; hem sizi hem de Alibaba Cloud sunucusunu taklit ederek iletişimi değiştirebilir. Örneğin, bir saldırgan örnek oluşturma isteğinizi kötü amaçlı bir talimatla değiştirerek kritik bir iş örneğini silebilir veya yanıta sahte veri enjekte edebilir.
Kimlik sahteciliği ve oltalama: HTTP sunucu özgünlüğünü doğrulayamaz. Saldırgan bir DNS kaydını sahteleştirerek veya sahte bir sunucu kurarak API isteklerinizi yönlendirebilir ve kimlik bilgilerinizi çalabilir.

En iyi uygulamalar

SDK, SSL/TLS sertifika doğrulamasını varsayılan olarak etkinleştirir. Ortamınızda gerekli sertifikalar eksikse doğrulama hatası oluşur.

İletişim güvenliğini sağlamak için sertifika doğrulamasını etkinleştirmek üzere IgnoreSSL = false değerini ayarlayın.

Dil	V 2,0	V 1,0
Java	HTTPS istek yapılandırması	HTTPS istek yapılandırması
Python	SDK'da HTTPS ve TLS ayarlarını yapılandırma	HTTPS yapılandırması
PHP	HTTPS istek yapılandırması	HTTPS istek yapılandırması
Node.js/TypeScript	HTTPS istek yapılandırması
.NET	HTTPS istek yapılandırması	HTTPS istek yapılandırması
Go	SDK'da HTTPS ve TLS ayarlarını yapılandırma	SSL doğrulaması

Uyumluluk

HTTPS olmayan ECS OpenAPI isteklerini engelleme

HTTPS olmayan ECS OpenAPI isteklerini engellemek için kuruluş veya hesap düzeyinde bir RAM ilkesi kullanın.

Kurumsal kullanıcılar için:
1. Alibaba Cloud hesabınızla Resource Directory konsolu üzerinde oturum açın. Sol gezinme bölmesinde Control Policies seçeneğine tıklayın. Aşağıdaki JSON içeriğine sahip özel bir ilke oluşturun:
```
{
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "acs:SecureTransport": "true"
        }
      }
    }
  ],
  "Version": "1"
}
```
2. Resource Directory konsolunda hedef klasörü seçin ve ilkeyi ekleyin. Bu işlem, klasördeki hesaplardan gelen HTTPS olmayan istekleri engeller.
Kurumsal olmayan kullanıcılar için:
1. Alibaba Cloud hesabınızla RAM konsolu üzerinde oturum açın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın ve aynı içeriğe sahip özel bir ilke oluşturun.
2. İlkeyi bir RAM kullanıcısına, RAM kullanıcı grubuna veya RAM rolüne ekleyin. Bkz. İlke atamalarını yönetme.