Elastic Compute Service:Avoid using preset logon credentials in custom images

Uyumsuz örnekleri denetleme

Aşağıdaki denetimleri gerçekleştirmek için Workbench kullanarak bir Linux örneğinde oturum açın.

• Şüpheli kullanıcı hesaplarını denetleme: Oluşturmadığınız veya varsayılan sistem kullanıcıları olmayan bilinmeyen kullanıcıları belirlemek için /etc/passwd dosyasını görüntüleyin.

  cat /etc/passwd

• SSH yetkili genel anahtarlarını denetleme: Parolasız oturum açma için hangi genel anahtarların yapılandırıldığını görmek üzere kritik sistem konumlarındaki authorized_keys dosyalarını kontrol edin.

  # Check the authorized public keys for the root user.
  cat /root/.ssh/authorized_keys
  
  # Check the authorized public keys for another user, such as 'admin'.
  cat /home/admin/.ssh/authorized_keys

  Dosyalardaki genel anahtarları dikkatlice inceleyerek kullandığınız özel anahtarlara karşılık geldiklerinden emin olun. Şüpheli veya tanınmayan tüm genel anahtarları derhal kaldırın.

Engelleme: Önceden ayarlanmış parolaların kullanımını önleme

Kuruluş veya hesap düzeyinde, bir görüntünün önceden ayarlanmış parolasını kullanan örneklerin oluşturulmasını proaktif olarak engellemek için bir RAM ilkesi kullanın.

• Kurumsal kullanıcılar için:

  1. Alibaba Cloud hesabınızı kullanarak Resource Directory konsoluna giriş yapın. Sol gezinme bölmesinde Control Policies seçeneğine tıklayın. Ardından aşağıdaki JSON içeriğine sahip özel bir izin ilkesi oluşturun.

     Bu ilke, bir örnek oluştururken veya sistem diskini değiştirirken bir görüntüden varsayılan parolanın devralınması iznini reddeder.

     {
         "Version": "1",
         "Statement": [
             {
                 "Action": [
                     "ecs:RunInstances",
                     "ecs:CreateInstance",
                     "ecs:ReplaceSystemDisk"
                 ],
                 "Resource": "*",
                 "Condition": {
                     "Bool": {
                         "ecs:PasswordInherit": [
                             "true"
                         ]
                     }
                 },
                 "Effect": "Deny"
             }
         ]
     }

  2. Resource Directory'de ilkeyi uygun düğüme ekleyin. İlke daha sonra bu düğüm altındaki tüm hesaplarda uygulanır.

• Kurumsal olmayan kullanıcılar için:

  1. Alibaba Cloud hesabınızı kullanarak RAM konsoluna giriş yapın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın ve önceki bölümdekilerle aynı içeriğe sahip özel bir ilke oluşturun.

  2. İlkeleri RAM kullanıcılarına, RAM kullanıcı gruplarına veya RAM rollerine ekleyerek izinler verin.

Düzeltme: Önceden ayarlanmış parolalara sahip örnekleri düzeltme

1. Yeni oturum açma kimlik bilgileri ayarlama

   • Linux örnekleri: Yeni bir anahtar çifti bağlama

     1. ECS konsolu - Örnekler sayfasına gidin, bir bölge ve kaynak grubu seçin ve ardından ayrıntılar sayfasını açmak için hedef örnek kimliğine tıklayın.

     2. All Operations > Bind Key Pair seçeneğine tıklayın, mevcut bir anahtar çifti seçin ve ardından OK seçeneğine tıklayın. Yeni anahtar çifti örneği yeniden başlattıktan sonra etkinleşir.

   • Windows örnekleri: Parolayı sıfırlama

     1. ECS konsolu - Örnekler sayfasına gidin, bir bölge ve kaynak grubu seçin ve ardından ayrıntılar sayfasına gitmek için hedef örnek kimliğine tıklayın.

     2. All Operations > Reset Password seçeneğine tıklayın, istendiği gibi güçlü bir parola ayarlayın ve ardından OK seçeneğine tıklayın.

2. Orijinal önceden ayarlanmış kimlik bilgilerini kaldırma (Linux)

   1. Yeni kimlik bilgilerinizle ECS örneğinde oturum açın. Az önce yapılandırdığınız yeni anahtar çiftini veya parolayı kullanın.

   2. Eski genel anahtarları silin: Tüm authorized_keys dosyalarını dikkatlice inceleyin ve eski genel anahtarları temizleyin.

      # Edit the authorized_keys file for the root user and delete all unwanted public keys.
      vi /root/.ssh/authorized_keys
      
      # Perform the same operation for all other users.
      vi /home/<username>/.ssh/authorized_keys

   3. Parola kimlik doğrulamasını devre dışı bırakma: Anahtar çiftini kullanarak başarıyla oturum açabildiğinizi onayladıktan sonra SSH yapılandırmasını değiştirerek parola kimlik doğrulamasını devre dışı bırakın. Bu, yalnızca anahtar çifti kimlik doğrulamasına izin verilmesini sağlar.

      # 1. Edit the SSH configuration file.
      sudo vi /etc/ssh/sshd_config
      
      # 2. Find and modify the following lines.
      PasswordAuthentication no
      PubkeyAuthentication yes
      
      # 3. Restart the SSH service for the changes to take effect.
      sudo systemctl restart sshd

3. Gereksiz sistem kullanıcılarını ve dosyalarını temizleme

   Görüntü oluşturma işleminden kalan gereksiz kullanıcı hesaplarını kaldırmak için /etc/passwd ve /etc/shadow dosyalarını kontrol edin. Ayrıca eski parolalar veya anahtarlar gibi hassas bilgiler içerebilecek geçici dosyaları veya komut dosyalarını silin.