Ensure the Callable Scope of OSS Sensitive Interfaces Is Restricted

Cách kiểm tra

Phương pháp kiểm tra: Xem xét thủ công

Khuyến nghị này không thể kiểm tra tự động. Lần quét sẽ liệt kê mục này kèm hướng dẫn khi bạn truyền cờ --include-manual.

Run grep -A2 interface_mask <tdsql>/conf/oss.json and grep "<deny_interfacename" <tdsql>/conf/scheduler.xml. The mask must include TDSQL.AddUser, AddMultiUser, ModifyOssUser, ResetPwd, RegisterOssUser, ListUser, GetKmsConfig, CreateKmsConfig, ReplaceIp, ForceSwitchInstance, ForceSwitchMaster and ForceDelInstance; any missing interface is a finding.

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

Extend the sensitive interface list in oss.json: { "name": "interface_mask", "value": "TDSQL.AddUser,TDSQL.ListUser,TDSQL.AddMultiUser,TDSQL.RegisterOssUser,TDSQL.Modif yOssUser,TDSQL.ResetPwd,TDSQL.GetKmsConfig,TDSQL.CreateKmsConfig,TDSQL.ReplaceIp,T DSQL.ForceSwitchInstance,TDSQL.DeleteInstance" } Add denylist interfaces in scheduler.xml (callable by no one): <deny_interfacename name="TDSQL.ReplaceIp"/> <deny_interfacename ...