Bewährte Sicherheitsverfahren für den Metadatendienst

IBM nimmt die Datensicherheit ernst und empfiehlt Ihnen, diese bewährten Vorgehensweisen zu befolgen, um ein Höchstmaß an Schutz für Ihre Metadaten zu gewährleisten.

Übersicht

In diesem Abschnitt ist beschrieben, wie Sie Sicherheitsvorkehrungen konfigurieren können, um Ihre Metadaten folgendermaßen zu schützen:

  • Aktivieren Sie den sicheren Zugang in der Konsole
  • Deaktivierung des Metadatendienstes für eine Instanz oder ein Konto, wenn er nicht benötigt wird.
  • Vertrauenswürdige Profile für Identitäten von Rechenressourcen nach Bedarf einschränken oder nicht zuweisen.
  • Verbesserung der Netzsicherheit.

Aktivieren Sie den sicheren Zugang in der Konsole

Sie können den sicheren Zugriff auf den Metadatendienst aktivieren. Wenn der sichere Zugriff aktiviert ist, ist der Metadatendienst nur für die virtuelle Serverinstanz über das verschlüsselte Secure- HTTP-Protokoll ( HTTPS ) zugänglich. Weitere Informationen finden Sie unter Aktivieren des sicheren Zugriffs in der Konsole

Wenn Sie ein Bild verwenden, dessen Nutzungsbedingungen entweder HTTPS oder HTTP als erforderliches Metadatendienstprotokoll vorgeben, sollten Sie dies bei Anfragen und Antworten im Zusammenhang mit dem Metadatendienst berücksichtigen. Ein für HTTP konfiguriertes Image kann nicht für HTTPS verwendet werden und umgekehrt.

Metadatenservice für eine Instanz oder ein Konto inaktivieren

Sie können den Service in einer vorhandenen Instanz inaktivieren, in der er aktiviert ist. Weitere Informationen finden Sie unter Metadatenservice aktivieren oder inaktivieren.

Das Deaktivieren des Metadatendienstes für eine virtuelle Serverinstanz ist möglicherweise nicht möglich, da ein Ausdruck zur zulässigen Nutzung vorschreibt, dass dieser aktiviert sein muss.

Verwenden Sie die „ iptables “-Firewall, um den Zugriff auf Linux

Verwenden Sie das Firewall-Dienstprogramm „ iptables “ ( Linux ), um eine Barriere zwischen der Link-Local-Adresse des Metadatendienstes (vertrauenswürdiges Netzwerk) und dem Internet (nicht vertrauenswürdiges Netzwerk) zu errichten. Legen Sie Regeln fest, die bestimmen, welcher Datenverkehr zugelassen und welcher blockiert wird.

Im folgenden Beispiel werden „ Linux “ ( iptables ) und das zugehörige Modul verwendet, basierend auf der Standard-Installations-ID ( Apache ), um den Webserver „ Apache “ daran zu hindern, auf die Link-Local-Adresse der Metadaten ( 169.254.169.254 ) zuzugreifen. Es verwendet eine Ablehnungsregel, um alle Metadatenanfragen von Prozessen abzulehnen, die unter diesem Benutzer ausgeführt werden.

sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner --uid-owner apache --jump REJECT

Auf diesen Endpunkt können alle Befehle, Prozesse und Softwareanwendungen zugreifen, die innerhalb einer virtuellen Serverinstanz ausgeführt werden. Außerhalb der Virtual Server-Instanz ist der Zugriff auf den API-Endpunkt nicht möglich. Dieser Schritt fügt eine weitere Sicherheitsstufe hinzu.

Eine weitere Alternative besteht darin, den Zugriff für bestimmte Benutzer oder Gruppen über Regeln zu definieren. Bei den Erlaubnisregeln müssen Sie entscheiden, welche Software Zugriff auf die Metadaten der Instanz benötigt. Durch die Festlegung von Regeln können Sie verhindern, dass Software versehentlich auf den Metadatendienst zugreift, falls Sie später die Software oder die Konfiguration auf der Instanz ändern.

Sie können auch die Verwendung der Zulassungsregeln durch Gruppen definieren. Benutzer zu einer zugelassenen Gruppe hinzufügen und daraus entfernen, ohne die Firewall-Regel zu ändern.

Das folgende Beispiel verhindert den Zugriff auf den Metadatendienst für alle Prozesse, mit Ausnahme derjenigen, die unter dem Benutzerkonto „ trustworthy-user “ ausgeführt werden:

sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner ! --uid-owner trustworthy-user --jump REJECT

Vertrauenswürdige Profile für Rechenressourcenidentitäten begrenzen

Schränken Sie vertrauenswürdige Profile ein, die Sie in IAM für Identitäten von Rechenressourcen erstellen. Optional können Sie einer Instanz keine Rechenressourcenidentität zuordnen.

Wenn Sie " vertrauenswürdige Profile entfernen "vertrauenswürdige Profile entfernen "vertrauenswürdige Profile entfernen wählen, werden Rechenressourcen und Benutzer im Verbund vom Profil getrennt und können die vertrauenswürdige Profilidentität nicht mehr anwenden.

Sie können auch vorhandene vertrauenswürdige Profile aktualisieren, indem Sie die Vertrauensbeziehung neu definieren, Zugriffsrichtlinien zuweisen und Sitzungsbegrenzungen aktualisieren. Weitere Informationen finden Sie unter Aktualisieren vertrauter Profile.

Token-Anfragen mit einem Nonce verifizieren

In der Anfrage zum Abrufen eines Identitätszugriffstokens kann ein Nonce angegeben werden, der anschließend in der Antwort auf Übereinstimmung überprüft wird, um sicherzustellen, dass die Antwort tatsächlich von dem soeben getätigten Aufruf stammt. Sofern angegeben, stimmt der in der Antwort zurückgegebene Wert sowie der Wert in der gleichnamigen Eigenschaft des dekodierten Identitäts-Tokens mit dem angegebenen Wert überein.

Zusätzliche Maßnahmen für die Netzsicherheit

Zur Kontrolle des Netzverkehrs zu Ihren Virtual Server-Instanzen können die folgenden Optionen sinnvoll sein:

  • Beschränken Sie den Zugriff auf Ihre Instanzen mithilfe von Sicherheitsgruppen.

  • Stellen Sie sicher, dass der Hopgrenzwert für die Instanzantwort ordnungsgemäß konfiguriert ist. Eine falsche Konfiguration kann beim Versuch, den Service zu erreichen, zu Zeitüberschreitungen führen. Weitere Informationen finden Sie unter Hopgrenzwert für Metadaten über die Benutzerschnittstelle festlegen.

  • Konfigurieren Sie Zugriffssteuerungslisten(ACL), um den gesamten eingehenden und ausgehenden Datenverkehr in IBM Cloud® Virtual Private Cloudzu steuern. Eine ACL ist eine integrierte virtuelle Firewall, ähnlich wie eine Sicherheitsgruppe. Im Gegensatz zu Sicherheitsgruppen steuern die ACL-Regeln den Datenverkehr an die und aus den Teilnetzen und nicht an die und aus den Instanzen.

  • Verwenden Sie einen „ Virtual Private Network (VPN) for VPC “, um private Verbindungen von Ihren Remote-Netzwerken zu Ihren VPCs herzustellen.

  • Verwenden Sie die virtuellen privaten Endpunkte (VPE) von „ IBM Cloud® “ für VPC, um von Ihrem VPC-Netzwerk aus eine Verbindung zu unterstützten „ IBM Cloud “-Diensten herzustellen. Dabei können Sie IP-Adressen Ihrer Wahl verwenden, die aus einem Subnetz innerhalb Ihrer VPC zugewiesen werden. Virtual Private Endpoints (VPEs, virtuelle private Endpunkte) sind virtuelle IP-Schnittstellen, die an ein Endpunktgateway gebunden sind, das für einen bestimmten Service oder eine bestimmte Serviceinstanz erstellt wird.

  • Überwachen Sie den Datenverkehr, der Ihre Instanzen erreicht, in der VPC mit IBM Cloud-Ablaufprotokollen.

  • Ermöglichen Sie den sicheren Zugriff auf den Metadatendienst. Wenn der sichere Zugriff aktiviert ist, ist der Metadatendienst nur für die virtuelle Serverinstanz über das verschlüsselte Secure- HTTP-Protokoll ( HTTPS ) zugänglich.