2011 年 6 月 4 日
Amazon マシンイメージ (AMI) を使用する場合、重要な資格情報がパブリックに共有されたときに AMI に誤って残らないように、適切な予防措置を講じることを忘れないでください。最近、お客様が資格情報を作成して無意識のうちに公開したという状況をいくつか耳にしました。
AWS が、作成および共有したパブリック AMI 内で誤って AWS やサードパーティのアクセス認証情報を公開しているお客様に気づいた場合、AWS はこのようなお客様に連絡し、関連する AMI をプライベートにし、公開された認証情報をすぐに変更するよう勧めました。影響を受けるお客様にすぐに連絡できない場合、AWS はお客様に代わって関連する AMI をプライベートにし、パーソナルな AWS およびサードパーティのアクセス認証情報がさらされるのを防ぎます。
AWS が事前にインストールされたパブリック SecureShell (SSH) キーを含むパブリック AMI を認識し、AMI パブリッシャーにその AMI の実行中のインスタンスへのリモートアクセスを効果的に許可していた場合、AWS は AMI パブリッシャーに連絡し、AMI パブリッシャーに関連する AMI をプライベートにするように求めました。AMI パブリッシャーにすぐに連絡できなかった場合、または関連する AMI をプライベートにすることにすぐに従わなかった場合、AWS はお客様を保護するために関連する AMI をプライベートにしました。さらに、影響を受けた AMI のインスタンスを実行しているすべての特定のお客様に通知し、問題のあるプレインストールされた公開 SSH キーを削除するよう推奨しました。これにより、AMI パブリッシャーによるリモートアクセスを効果的にブロックできます。影響を受ける AMI のインスタンスを実行している特定のお客様は、既存のデータをバックアップし、可能であれば新しい AMI に移行することを強くお勧めします。
このような脆弱性が積極的に悪用されたという報告はありません。このドキュメントの目的は、公開する前に AMI から重要な資格情報を徹底的に検索して削除することが非常に重要であることをユーザーに思い出させることにあります。このドキュメントの目的は、公開する前に AMI から重要な資格情報を徹底的に検索して削除することが非常に重要であることをユーザーに思い出させることにあります。パブリック AMI を安全に共有し使用する方法に関するチュートリアルは、次の場所にあります。http://aws.amazon.com/articles/0155828273219400
AMI を安全に共有するための詳細なガイダンスは、次の場所にあります。http://docs.amazonwebservices.com/AWSEC2/latest/UserGuide/index.html?AESDG-chapter-sharingamis.html
これらのガイドラインに従うと、ユーザーエクスペリエンスが向上し、ユーザーインスタンスのセキュリティが確保され、AMI パブリッシャーを保護できます。
お客様は、パブリック AMI に関してセキュリティ上の問題がある場合、AWS セキュリティ (aws-security@amazon.com) に報告してください。