Güvenlik için en iyi uygulamalar
Bulutistan Cloud hesabınızı, kimlik bilgilerinizi, ağlarınızı ve verilerinizi koruyan ayarlar ve alışkanlıklar ile her biri için konsoldaki kontroller.
Platform size kontrolleri sunar; projelerinizin ne kadar iyi korunduğunu bu kontrolleri nasıl kullandığınız belirler. Bu makale en önemli uygulamaları, neyi koruduklarına göre gruplayarak bir araya getirir. Hangi güvenlik işlerinin Bulutistan’a, hangilerinin size düştüğünü öğrenmek için bkz. Paylaşılan sorumluluk.
Girişi koruma
- Hesabınız için iki adımlı doğrulamayı açın. Bir kimlik doğrulayıcı uygulaması kullanın ve Kurtarma kodları bölümündeki kodları güvenli bir yerde saklayın: kodlar yalnızca bir kez gösterilir. Bkz. İki adımlı doğrulamayı ayarlama.
- Mevcut üyeler için zorunlu kılın. Aboneliğin bir sahibi, Kimlik & ErişimKimlik doğrulama sayfasında Tüm üyeler için 2FA'yı zorunlu kıl ayarını açar. İki adımlı doğrulaması olmayan mevcut üyelerden bir sonraki girişlerinde bunu ayarlamaları istenir. Bu zorunluluk zaten açık olan oturumları sonlandırmaz.
- Oturumlarınızı gözden geçirin. Kimlik & ErişimKimlik doğrulama sayfasındaki Etkin oturumlar listesi, hesabınıza giriş yapmış her tarayıcıyı gösterir. Tanımadığınız bir oturum varsa onu sonlandırın ya da Diğer tüm oturumları sonlandır seçeneğini seçin.
Örneğin Tüm üyeler için 2FA'yı zorunlu kıl ayarını açtıktan sonra iki adımlı doğrulama olmadan giriş yapan mevcut bir üye, konsola ulaşmadan önce bunu ayarlamak zorundadır. Bkz. İki adımlı doğrulamayı zorunlu kılma.
En az ayrıcalığı verme
- En dar yerleşik rolü seçin. Okuyucu rolü yalnızca okuyabilir. Katkıda bulunan rolü kaynakları yönetir, ancak erişimi veya faturalandırmayı değiştiremez. Faturalama Operatörü rolü yalnızca faturalandırmayı ve bütçeleri yönetir. Sahip rolünü erişimi ve faturalandırmayı yöneten az sayıdaki kişiye ayırın.
- En dar kapsamda verin. Bir kişi tek bir projede çalışıyorsa rolü aboneliğin tamamı yerine o projede verin. Yerleşik bir rol gereğinden fazla erişim veriyorsa özel bir rol oluşturun.
- Ayrılan kişileri kaldırın. Bir üyeyi kaldırdığınızda üyenin API belirteçleri iptal edilir. Bkz. Üyeyi devre dışı bırakma, yeniden etkinleştirme veya kaldırma.
Örneğin tek bir uygulamayı dağıtan bir geliştirici, o uygulamanın projesinde Katkıda bulunan rolünü alır ve başka hiçbir yerde rolü olmaz. Bkz. Yerleşik ve özel rolleri kullanma.
Kimlik bilgilerini kısa ömürlü ve dar kapsamlı tutma
- Otomasyon için servis hesapları kullanın. Servis hesabı anahtarı bir kişinin değil, servis hesabının rolleriyle işlem yapar ve onu ayarlayan kişi ayrıldığında da çalışmaya devam eder. Bir anahtarın süresi her zaman 365 gün sonra dolar. Bkz. Anahtarları yönetme.
- API belirteçlerini sınırlayın. Her API belirtecine yalnızca ihtiyaç duyduğu kapsamları, bir sona erme tarihini ve çağıranın sabit adresleri varsa bir IP izin listesi verin.
- Gizli anahtarları güvenle saklayın. Platform bir gizli anahtarı yalnızca bir kez gösterir. Gizli anahtarları kodda veya sürüm kontrolünde değil, bir gizli anahtar yöneticisinde saklayın.
- Yenileyin; şüphe durumunda hemen iptal edin. Bir API belirtecini yeniledikten sonra eski gizli anahtar 24 saat boyunca çalışmaya devam eder; böylece çağıranlarınızı güncelleyebilirsiniz. İptal edilen bir belirteç bir sonraki isteğinde çalışmayı durdurur. Bkz. API belirtecini yenileme.
- Uygulama kimlik bilgilerine de aynı şekilde davranın. OpenStack araçları için bir uygulama kimlik bilgisi tek bir projeye aittir ve süresi her zaman dolar. Kısa bir ömür seçin, süresi dolmadan yenileyin ve artık ihtiyacınız olmadığında iptal edin. Bkz. Kimlik bilgilerini yenileme ve iptal etme.
Örneğin bir dağıtım işlem hattı, yalnızca hazırlık (staging) projesinde Katkıda bulunan rolü olan bir servis hesabının anahtarını kullanır ve işlem hattı anahtarı süresi dolmadan değiştirir. Bkz. Servis hesapları ve API belirteçleri.
Ağ açıklığını sınırlama
- Her gelen kurala bir kaynak belirleyin. Sanal makine oluşturma sihirbazındaki Hazır güvenlik kuralları, kaynağı değiştirmezseniz bağlantı noktalarını tüm adreslere açar; SSH veya RDP tüm internete açık olduğunda konsol uyarı verir. Geçerli genel adresinizi doldurmak için IP'm seçeneğini kullanın.
- Yalnızca iş yükünün ihtiyaç duyduğu bağlantı noktalarını açın. Artık kullanmadığınız kuralları kaldırın.
- Önemli olduğu yerlerde giden trafiği kısıtlayın. Yeni bir güvenlik grubu tüm giden trafiğe izin verir. Yalnızca belirli adreslere ulaşması gereken sanal makineler için bu kuralları kaldırın ve daha dar kurallar ekleyin.
- Genel adresleri yalnızca gereken yerlerde verin. Genel IP’yi yalnızca internetten erişilmesi gereken sanal makinelerle ilişkilendirin. Diğerlerine kendi ağınızdan bir Site-to-Site VPN tüneli üzerinden ulaşın.
Örneğin sanal makinelerinize SSH erişimine yalnızca ofisinizin adres aralığından izin verin; 80 ve 443 numaralı bağlantı noktalarına ise tüm adreslerden yalnızca web sunucusu olarak çalışan sanal makinelerinizde izin verin. Bkz. Güvenlik gruplarını ve kuralları oluşturma ve düzenleme.
Verilerinizi koruma
- İhtiyacınız olan diskleri yedekleyin. Backup Center yalnızca bir yedekleme planına atadığınız diskleri yedekler. Hiçbir planın kapsamadığı diskleri düzenli olarak kontrol edin. Bkz. Korumasız diskleri bulma.
- Silme korumasını açın. Silme koruması açıkken konsol ve REST API, biri korumayı kapatana kadar bir sanal makineyi veya diski silmeyi reddeder. Sanal makineler için bkz. Silme korumasını açma veya kapatma, diskler için bkz. Diski koruma.
- Riskli değişikliklerden önce anlık görüntü alın, örneğin işletim sistemi yükseltmesinden önce. Bkz. Disk anlık görüntüleri oluşturma.
- Duraktayken şifrelenmesi gereken hassas verileri kendiniz şifreleyin. Bkz. Şifreleme.
Örneğin bir sanal makinedeki veritabanını yükseltmeden önce sanal makinenin veri diskinin anlık görüntüsünü alın ve sanal makine ile disk için silme korumasını açık tutun.
Değişiklikleri izleme
- Activity Log kayıtlarını gözden geçirin. Beklemediğiniz işlemlere, örneğin silinmiş kaynaklara veya değiştirilmiş rol atamalarına bakın. Kayıtlar bir saklama süresinin sonunda silinir; bu nedenle saklamanız gerekenleri dışa aktarın. Bkz. Denetim ve etkinlik kayıtları.
- Önemli olanlar için alarm oluşturun. Önemli sanal makineleriniz için alarm kuralları oluşturun ve bildirimleri ekibinizin izlediği bir kanala gönderin. Webhook bildirimleri aldığınızda imzalarını doğrulayın. Bkz. Alarm kuralları oluşturma.