Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Consigli per la creazione di Linux condiviso AMIs

Utilizza le linee guida seguenti per ridurre la superficie di attacco e migliorare l'affidabilità del creato. AMIs

Se stai creando AMIs per Marketplace AWS, consulta Best practice per la creazione AMIs nella Guida per i Marketplace AWS venditori per conoscere linee guida, policy e best practice.

Per ulteriori informazioni sulla condivisione AMIs sicura, consulta gli articoli seguenti:

Disabilitazione degli accessi remoti basati su password per l'utente root

L'uso di una password root fissa per un pubblico AMI rappresenta un rischio per la sicurezza che può diventare noto rapidamente. Anche fare affidamento sul fatto che gli utenti modifichino la password dopo il primo accesso lascia aperta una piccola possibilità di potenziali usi illeciti.

Per risolvere questo problema, disabilita gli accessi remoti basati su password per l'utente root.

Disabilitazione dell'accesso root locale

Quando utilizzi sharedAMIs, ti consigliamo, come best practice, di disabilitare gli accessi root diretti. Per farlo, accedi all'istanza in esecuzione ed esegui il comando seguente:

[ec2-user ~]$ sudo passwd -l root

Rimozione delle coppie di chiavi dell'SSHhost

Se intendi condividere un AMI derivato da un pubblicoAMI, rimuovi le coppie di chiavi dell'SSHhost esistenti posizionate in/etc/ssh. Questa azione forza SSH a generare nuove coppie di SSH chiavi univoche quando un utente avvia un'istanza tramite la tuaAMI, migliorando la sicurezza e riducendo la possibilità di attacchi man-in-the-middle "».

Rimuovi tutti i file di chiave seguenti presenti sul sistema.

Puoi rimuovere in sicurezza tutti questi file con il comando seguente.

[ec2-user ~]$ sudo shred -u /etc/ssh/*_key /etc/ssh/*_key.pub

Installazione delle credenziali di chiave pubblica

Dopo aver configurato AMI per impedire l'accesso tramite password, devi assicurarti che gli utenti possano accedervi mediante un altro meccanismo.

Amazon EC2 consente agli utenti di specificare un nome di coppia di chiavi pubblica-privata al momento dell'avvio dell'istanza. Se viene specificato un nome della coppia di chiavi valido alla RunInstances API chiamata (o tramite gli API strumenti della riga di comando), la chiave pubblica (la porzione della coppia di chiavi che Amazon EC2 conserva sul server in seguito alla chiamata a CreateKeyPair o aImportKeyPair) viene resa disponibile per l'istanza tramite una HTTP query sui metadati dell'istanza.

Per accedereSSH, è AMI necessario recuperare il valore di chiave al momento dell'avvio e aggiungerlo a /root/.ssh/authorized_keys (o all'equivalente per gli altri account utente su). AMI Gli utenti possono avviare le istanze del tuo AMI con una key pair e accedere senza bisogno di una password root.

Molte distribuzioni, tra cui Amazon Linux e Ubuntu, utilizzano il pacchetto cloud-init per inserire le credenziali di chiave pubblica per un utente configurato. Se la distribuzione in uso non supporta cloud-init, puoi aggiungere il codice seguente a uno script di avvio del sistema (come /etc/rc.local) per inserire la chiave pubblica specificata al momento dell'avvio per l'utente root.

IMDSv2

if [ ! -d /root/.ssh ] ; then
        mkdir -p /root/.ssh
        chmod 700 /root/.ssh
fi
# Fetch public key using HTTP
TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` \
&& curl -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key > /tmp/my-key
if [ $? -eq 0 ] ; then
        cat /tmp/my-key >> /root/.ssh/authorized_keys
        chmod 700 /root/.ssh/authorized_keys
        rm /tmp/my-key
fi

IMDSv1

if [ ! -d /root/.ssh ] ; then
        mkdir -p /root/.ssh
        chmod 700 /root/.ssh
fi
# Fetch public key using HTTP
curl http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key > /tmp/my-key
if [ $? -eq 0 ] ; then
        cat /tmp/my-key >> /root/.ssh/authorized_keys
        chmod 700 /root/.ssh/authorized_keys
        rm /tmp/my-key
fi

Questa procedura è applicabile a tutti gli utenti e non è necessario limitarla all'utente root.

Disabilitazione dei DNS controlli sshd (facoltativo)

La disabilitazione dei DNS controlli sshd indebolisce leggermente la sicurezza sshd. Tuttavia, in caso di errori DNS della risoluzione, gli SSH accessi continueranno a funzionare. Se non disabiliti i controlli sshd, gli errori della DNS risoluzione impediranno tutti gli accessi.

Rimozione di dati sensibili

Ti sconsigliamo di archiviare dati sensibili o software sui dati AMI che condividi. Gli utenti che avviano una condivisione AMI potrebbero ricompilarla e registrarla come di loro proprietà. Segui queste linee guida per evitare rischi della sicurezza spesso sottovalutati: