Restrict instance creation to images from a specified scope - Elastic Compute Service

Onaylı görüntüleri etiketleyin ve etiketlenmemiş görüntülerden örnek başlatılmasını engellemek için bir RAM ilkesi uygulayın.

Güvenlik riskleri

Risk	Açıklama
Kötü niyetli görüntüler	Bilinmeyen kaynaklardan gelen genel görüntüler kötü amaçlı yazılım, kripto para madenciliği programları veya arka kapılar içerebilir; bu durum saldırganların ECS örneklerinizin kontrolünü ele geçirmesine olanak tanır.
Güvenlik açığı bulunan görüntüler	Bakımı yapılmayan kurumsal içi görüntüler bir saldırı vektörü haline gelir. Güncel olmayan veya yamaları uygulanmamış görüntüler Log4j veya Heartbleed gibi güvenlik açıkları barındırabilir.
Yanlış yapılandırılmış görüntüler	Gereksiz açık bağlantı noktaları veya zayıf parolalar gibi güvensiz varsayılan ayarlara sahip görüntüler, kendilerinden başlatılan her örneğe bu riskleri taşır.

Altın görüntü oluşturma ve etiketleme

Güçlendirilmiş, düzenli olarak güncellenen bir temel görüntü oluşturun ve bunu onaylı olarak etiketleyin. Örnek:

status: approved
security-level: trusted
environment: production

Önemli

Onaylı bir görüntüyü etiketledikten sonra etiketleri koruyun. Kullanıcıların etiketleri değiştirmesini önlemek için ECS görüntü kaynaklarında ecs:DeleteTags, ecs:UntagResources, ecs:CreateTags ve ecs:TagResources işlemlerini reddedin. Aşağıdaki RAM ilke örneği bu reddetme ifadesini içerir.

Onaylı etikete sahip görüntüleri bulma

Bir örnek oluşturmadan önce onaylı bir görüntünün ImageId değerini bulun.

Konsol

ECS konsolu - görüntüler şuraya gidin.
Görüntü listesinde, belirtilen etikete sahip görüntüleri bulmak için etiket filtresini kullanın.
Actions sütununda Create Instance öğesine tıklayın.

API

Eşleşen görüntü kimliklerini almak için Tag.Key ve Tag.Value parametrelerini onaylı etiketinize ayarlayarak DescribeImages API'sini çağırın.
Dönen ImageId değerini örneği oluşturmak için RunInstances veya CreateInstance API'sine iletin.

RAM ilkesi uygulama

Görüntü onaylı olarak etiketlenmediğinde örnek oluşturmayı veya sistem diskini değiştirmeyi engellemek için bir RAM ilkesi kullanın. Bu ilkeyi kullanıcının mevcut ECS izinleriyle birlikte uygulayın. Aşağıdaki ilke üç reddetme ifadesi kullanır:

Yanlış etiket değerinde reddetme: Görüntünün environment etiketi production dışında bir değere sahip olduğunda (StringNotEquals) ecs:CreateInstance, ecs:RunInstances ve ecs:ReplaceSystemDisk işlemlerini engeller.
Eksik etikette reddetme: Görüntüde hiç environment etiketi yoksa (Null) aynı işlemleri engeller. Bu kural olmadan etiketlenmemiş görüntüler engellenmezdi.
Etiket işlemlerinde reddetme: Etiket tabanlı bypass'ı önlemek için ECS görüntü kaynaklarında tüm etiket işlemlerini (ecs:DeleteTags, ecs:UntagResources, ecs:CreateTags, ecs:TagResources) engeller.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:CreateInstance",
        "ecs:RunInstances",
        "ecs:ReplaceSystemDisk"
      ],
      "Resource": "acs:ecs:*:*:image/*",
      "Condition": {
        "StringNotEquals": {
          "acs:ResourceTag/environment": "production"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "ecs:CreateInstance",
        "ecs:RunInstances",
        "ecs:ReplaceSystemDisk"
      ],
      "Resource": "acs:ecs:*:*:image/*",
      "Condition": {
        "Null": {
          "acs:ResourceTag/environment": "true"
        }
      }
    },
    {
      "Effect": "Deny",
      "Action": [
        "ecs:DeleteTags",
        "ecs:UntagResources",
        "ecs:CreateTags",
        "ecs:TagResources"
      ],
      "Resource": "acs:ecs:*:*:image/*"
    }
  ]
}

Kurumsal kullanıcılar için

Resource Directory konsoluna giriş yapın. Sol menüde Control Policies öğesine tıklayın, ardından yukarıdaki JSON ile özel bir ilke oluşturun.
Kaynak dizininde hedef düğümü seçin ve ilkeyi ekleyin. İlke, bu düğüm altındaki tüm hesaplar için geçerli olur.

Kurumsal olmayan kullanıcılar için

RAM konsoluna giriş yapın. Sol menüde Policies öğesine tıklayın, ardından aynı JSON ile özel bir ilke oluşturun.
İlkeyi RAM kullanıcılarına, RAM kullanıcı gruplarına veya RAM rollerine ekleyin. Bkz. İlke tabanlı yetkilendirmeyi yönetme.

Uyumsuz örnekleri düzeltme

İlkeler yürürlüğe girmeden önce örnekler başlatıldıysa bunları uyumlu hale getirin.

Görüntü hâlâ mevcutsa ve üzerinde kontrolünüz varsa: gerekli etiketi ekleyin.
Görüntü silindiyse veya etiketlenemeyen harici bir kaynaktan geliyorsa: etkilenen örnekleri değiştirin veya sonlandırın.