翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Lightsail で Windows Server インスタンスを保護する
<a name="best-practices-for-securing-windows-based-lightsail-instances"></a>

この記事では、Windows Server を実行する Lightsail インスタンスを使用する際にセキュリティリスクを回避するために役立つヒントやテクニックについて説明します。

## Lightsail のパスワードについて
<a name="best-practices-windows-security-about-passwords"></a>

Windows Server ベースのインスタンスを作成するとき、Lightsail は推測しにくい長いパスワードをランダムに生成します。新しいインスタンスではこのパスワードを一意に使用します。デフォルトのパスワードを使用すると、リモートデスクトップ (RDP) を使用してインスタンスにすばやく接続できます。** インスタンスには常に **AdministratorLightsail としてログインします。

## パスワードの管理
<a name="best-practices-windows-security-password-management"></a>

Windows Server ベースのインスタンスのパスワードを覚えやすいものに変更できます。これは、リモートデスクトップクライアントを使用して Lightsail インスタンスにアクセスする場合に役立ちます。生成したパスワードが Lightsail に保存されることはありません。

**注記**  
Lightsail では、ブラウザベースの RDP クライアントに、Lightsail で生成されたパスワードまたは独自のカスタムパスワードを使用できます。カスタムパスワードを使用する場合、ログインするたびにパスワードの入力を求められます。インスタンスにすばやくアクセスする場合、ブラウザベースの RDP クライアントで Lightsail によって生成されたデフォルトパスワードを使用した方が簡単です。

管理者パスワードを安全に変更するには、Windows Server のパスワードマネージャーを使用します。`Ctrl` \$1 `Alt` \$1 `Del` を押し、[**パスワードの変更**] を選択します。Lightsail にはパスワードが保存されないため、必ずパスワードを記録しておいてください。パスワードを取得する必要がある場合は、以下の「[Windows ベースのインスタンスの管理者パスワードを変更する](use-non-default-key-with-windows-based-instance-in-lightsail.md)」を参照してください。

パスワードを一意のデフォルトパスワードから変更する場合、必ず強力なパスワードを使用してください。名前や辞書に載っている単語をベースとしたパスワードや、一連の文字の繰り返しは避けてください。

## セキュリティパッチ
<a name="best-practices-windows-security-security-patching"></a>

Windows Server ベースの Lightsail インスタンスを最新のセキュリティパッチで更新された状態に保つことをお勧めします。サーバーが更新をダウンロードおよびインストールするよう設定されていることを確認してください。次の手順では、Windows Server を実行する Lightsail インスタンスで直接これを行う方法について説明します。

1. Windows Server ベースのインスタンスで、コマンドプロンプトを開きます。

1. 「`sconfig`」と入力し、`Enter` を押します。

   Windows Update Settings (5 番) はデフォルトで `Automatic` になっています。  
![\[Windows Server 2016 のサーバー設定\]](http://docs.aws.amazon.com/ja_jp/lightsail/latest/userguide/images/configure-server-windows-based-lightsail.png)

1. 新しい更新プログラムをダウンロードしてインストールするには、`6` と入力して `Enter` キーを押します。

1. 新しいコマンドウィンドウで「`A`」と入力して [**(A)ll updates (すべての更新)**] を検索し、`Enter` キーを押します。

1. もう一度「`A`」と入力して [**(A)ll updates (すべての更新)**] をインストールし、`Enter` キーを押します。

   完了したら、インストール結果と詳しい手順が記載されたメッセージが表示されます (該当する場合)。  
![\[正常にダウンロードおよび更新された Windows Server 2016 セキュリティパッチ\]](http://docs.aws.amazon.com/ja_jp/lightsail/latest/userguide/images/download-install-updates-configure-server-windows-based-lightsail.png)

## Windows Server でアカウントロックアウトポリシーを有効にする
<a name="best-practices-windows-security-enable-lockout"></a>

ログイン試行に一定回数失敗した場合にアカウントを一時的または永続的に無効にするよう Windows Server を設定できます。たとえば、間違ったパスワードを 3 つ使用してインスタンスにログインしようとした場合にロックアウトすることができます。

詳細については、『[Windows Server documentation](https://technet.microsoft.com/en-us/library/hh994563(v=ws.11).aspx)』の「*Account Lockout Policy*」を参照してください。

## ポートとファイアウォールの設定
<a name="best-practices-windows-security-ports-firewall"></a>

デフォルトでは、Windows Server ベースのインスタンスで次のポートを開きます。

![\[ファイアウォール設定\]](http://docs.aws.amazon.com/ja_jp/lightsail/latest/userguide/images/windows-ports-firewall-open-by-default.png)


有効にしたポートは世界中に公開され、ソース IP によって制限することはできません。インスタンスへのアクセスを制限するには、これらのポートを無効にし、インスタンスへのアクセスが必要なときにのみ有効にすることができます。その方法は次のとおりです。

1. Lightsail で管理するインスタンスを検索し、[**管理**] を選択します。

1. [**ネットワーキング**] を選択します。

1. インスタンスの [**ネットワーキング**] ページで、[**ルールの編集**] を選択します。

1. ルールの横にあるオレンジ色の [x] を選択することで、RDP/TCP/3389 ルールを削除します。  
![\[このルールを削除して RDP ポートを閉じる\]](http://docs.aws.amazon.com/ja_jp/lightsail/latest/userguide/images/windows-ports-firewall-delete-rdp-port.png)

1. **[保存]** を選択します。