Elastic Compute Service:Restrict source IP addresses for instance O&M ports

Kontrol: Kısıtlanmamış O&M bağlantı noktası erişimi olan güvenlik gruplarını bulma

Engelleme: Kısıtlanmamış O&M bağlantı noktası erişimi olan örnek oluşturmayı reddetme

Herhangi bir IP adresinden (0.0.0.0/0) erişime izin veren güvenlik grubu kurallarını engellemek için bir RAM ilkesi kullanın.

• Kurumsal kullanıcılar için:

  1. Bir Alibaba Cloud hesabıyla Resource Directory konsoluna oturum açın. Sol menü çubuğunda Control Policies seçeneğine tıklayın. Özel bir ilke oluşturun ve aşağıdaki JSON içeriğini yapıştırın.

     Bu ilke, herhangi bir IP adresinden erişime izin verecek şekilde örnek oluşturmayı veya güvenlik gruplarını değiştirmeyi reddeder.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Kaynak dizininizdeki uygun bir düğümü seçin ve ilkeyi ekleyin. İlke, o düğüm altındaki tüm hesaplar için bu işlemleri engeller.

• Kurumsal olmayan kullanıcılar için:

  1. Alibaba Cloud hesabınızla RAM konsoluna oturum açın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın. Aynı JSON içeriğiyle özel bir ilke oluşturun.

  2. İlkeyi yetkilendirin ve bir RAM kullanıcısına, RAM kullanıcı grubuna veya RAM rolüne atayın.

Düzeltme: Güvenlik grubu kurallarını kısıtlama

Yetkilendirme nesnesini 0.0.0.0/0'dan güvenilir bir IP adresi aralığına değiştirin.

1. Güvenli olmayan kuralları belirleme: Kısıtlanmamış O&M bağlantı noktası erişimi olan güvenlik gruplarını bulmak için Kontrol bölümündeki yöntemleri kullanın.

2. Kuralları değiştirme:

   1. ECS konsolu - Güvenlik Grupları sayfasına gidin. Hedef güvenlik grubunu bulun ve Operation sütunundaki Manage Rules seçeneğine tıklayın.

   2. Kuralı bulun (örneğin, yetkilendirme nesnesi olarak 0.0.0.0/0 içeren 22 numaralı bağlantı noktası). Modify seçeneğine tıklayın, yetkilendirme nesnesini güvenilir bir kaynak IP adresine güncelleyin ve OK seçeneğine tıklayın.