Bewährte Sicherheitsverfahren für den Metadatendienst für Bare-Metal-Server

IBM nimmt die Datensicherheit ernst und empfiehlt Ihnen, diese bewährten Verfahren zu befolgen, um sicherzustellen, dass Sie den bestmöglichen Schutz für die Metadaten Ihres Bare-Metal-Servers erhalten.

Übersicht

Im Folgenden wird beschrieben, wie Sie Sicherheitsvorkehrungen konfigurieren können, um Ihre Metadaten durch die folgenden Aktionen zu schützen.

  • Deaktivieren des Metadatendienstes für einen Bare-Metal-Server oder ein Konto.
  • Einschränkung oder Nichtzuweisung von vertrauenswürdigen Profilen für Rechenressourcen-Identitäten.
  • Verbesserung der Netzsicherheit.

Deaktivieren Sie den Metadatendienst für einen Bare-Metal-Server oder ein Konto

Sie können den Dienst auf einem vorhandenen Bare-Metal-Server, auf dem er aktiviert ist, deaktivieren. Siehe Aktivieren oder Deaktivieren des Bare-Metal-Server-Metadatendienstes.

Verwendung der iptables Firewall zur Beschränkung des Zugriffs auf Linux

Verwenden Sie das Firewall-Dienstprogramm iptables Linux, um eine Barriere zwischen der link-lokalen Adresse des Metadatendienstes (vertrauenswürdiges Netzwerk) und dem Internet (nicht vertrauenswürdiges Netzwerk) zu schaffen. Definiert Regeln, die steuern, welcher Datenverkehr zulässig ist und welcher Datenverkehr blockiert wird.

Das folgende Beispiel verwendet Linux iptables und sein Besitzermodul, das auf seiner Standardinstallations-ID Apache basiert, um zu verhindern, dass der Webserver Apache auf die lokale Adresse des Metadaten-Links ( 169.254.169.254 ) zugreift. Es verwendet eine Ablehnungsregel, um alle Bare-Metal-Server-Metadatenanfragen von Prozessen abzulehnen, die als dieser Benutzer ausgeführt werden.

sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner --uid-owner apache --jump REJECT

Dieser Endpunkt ist für alle Befehle, Prozesse und Softwareanwendungen zugänglich, die auf einem Bare-Metal-Server ausgeführt werden. Der Zugriff auf den API-Endpunkt ist außerhalb des Bare-Metal-Servers nicht möglich. Dieser Schritt fügt eine weitere Sicherheitsstufe hinzu.

Eine weitere Alternative besteht darin, den Zugriff für bestimmte Benutzer oder Gruppen über Regeln zu definieren. Bei den Zulässigkeitsregeln müssen Sie entscheiden, welche Software Zugriff auf Bare-Metal-Server-Metadaten benötigt. Durch die Definition von Regeln können Sie verhindern, dass Software versehentlich auf den Metadatendienst zugreift, wenn Sie später die Software oder die Konfiguration auf dem Bare Metal Server ändern.

Sie können auch die Verwendung der Zulassungsregeln durch Gruppen definieren. Hinzufügen und Entfernen von Benutzern aus einer zugelassenen Gruppe ohne Änderung der Firewall-Regel.

Das folgende Beispiel verhindert den Zugriff auf den Bare-Metal-Server-Metadatendienst durch alle Prozesse, mit Ausnahme von Prozessen, die unter dem Benutzerkonto trustworthy-user ausgeführt werden:

sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner ! --uid-owner trustworthy-user --jump REJECT

Vertrauenswürdige Profile für Rechenressourcenidentitäten begrenzen

Begrenzen Sie vertrauenswürdige Profile, die Sie für Rechenressourcen-Identitäten erstellen. Optional können Sie einem Bare-Metal-Server keine Rechenressourcen-Identität zuweisen.

Wenn Sie vertrauenswürdige Profile entfernen, werden die Verknüpfungen von Rechenressourcen und Verbundbenutzern mit dem Profil aufgehoben und sie können die vertrauenswürdige Profilidentität nicht mehr anwenden.

Sie können auch vorhandene vertrauenswürdige Profile aktualisieren, indem Sie die Vertrauensbeziehung neu definieren, Zugriffsrichtlinien zuweisen und Sitzungsgrenzen aktualisieren. Weitere Informationen finden Sie unter Aktualisieren vertrauter Profile.

Zusätzliche Netzsicherheitsmaßnahmen

Ziehen Sie die folgenden Optionen zur Kontrolle des Netzwerkverkehrs zu Ihren Bare-Metal-Servern in Betracht:

  • Schränken Sie den Zugriff auf Ihre Bare-Metal-Server mit Hilfe von Sicherheitsgruppen ein.

  • Richten Sie Zugriffskontrolllisten (ACL) ein, um den gesamten ein- und ausgehenden Datenverkehr in IBM Cloud® Virtual Private Cloud zu kontrollieren. Eine ACL ist eine integrierte virtuelle Firewall, ähnlich wie eine Sicherheitsgruppe. Im Gegensatz zu Sicherheitsgruppen steuern ACL-Regeln den Verkehr zu und von den Subnetzen und nicht zu und von den Bare-Metal-Servern.

  • Verwenden Sie eine Virtual Private Network (VPN) for VPC, um private Verbindungen von Ihren Remote-Netzwerken zu Ihren VPCs herzustellen.

  • Verwenden Sie IBM Cloud® Virtual Private Endpoints (VPE) für VPC, um von Ihrem VPC-Netzwerk aus eine Verbindung zu den unterstützten IBM Cloud Diensten herzustellen, indem Sie die IP-Adressen Ihrer Wahl verwenden, die von einem Subnetz innerhalb Ihrer VPC zugewiesen werden. VPEs sind virtuelle IP-Schnittstellen, die an ein Endpunkt-Gateway gebunden sind, das pro Service oder Service-Bare-Metal-Server erstellt wird.

  • Verwenden Sie IBM Cloud flow Logs auf der VPC, um den Datenverkehr zu überwachen, der Ihre Bare-Metal-Server erreicht.

  • Aktivieren Sie den sicheren Zugriff auf den Bare-Metal-Server-Metadatendienst. Wenn der sichere Zugriff aktiviert ist, ist der Metadatendienst nur für den Bare Metal Server über das verschlüsselte HTTP secure protocol ( HTTPS ) zugänglich.