Mejores prácticas para la administración de AccessKey y permisos - Cloud Config

El paquete de cumplimiento de administración de AccessKey y permisos verifica la configuración y el uso de las AccessKeys, las cuentas de Alibaba Cloud y los usuarios de Resource Access Management (RAM). A continuación se enumeran las reglas predeterminadas de este paquete de cumplimiento.

Nombre de la regla	Descripción de la regla
Rotate AccessKeys for RAM users within a specified period	Una AccessKey de un usuario de RAM se considera conforme si su antigüedad no supera un número específico de días. Valor predeterminado: 90 días.
RAM users do not have idle AccessKeys	Una AccessKey de un usuario de RAM se considera conforme si han transcurrido menos días desde su último uso que el valor especificado en los parámetros. Valor predeterminado: 90 días.
Separate human and programmatic access for RAM users	Un usuario de RAM se considera conforme si no tiene habilitados simultáneamente el acceso a la consola y el acceso mediante llamadas a la API.
RAM users log on within a specified period	Un usuario de RAM se considera conforme si ha iniciado sesión en los últimos 90 días. Si la fecha del último inicio de sesión está vacía, el usuario cumple la regla si su perfil se actualizó en los últimos 90 días. Esta regla no aplica a usuarios sin acceso a la consola.
RAM users have no more than two active AccessKeys	Un usuario de RAM se considera conforme si tiene menos de dos AccessKeys activas con una antigüedad mayor a un número específico de días. Se recomienda que cada usuario de RAM tenga solo una AccessKey activa; no obstante, es posible contar temporalmente con dos durante la rotación de claves.
RAM user password policy meets requirements	Una política de contraseña para usuarios de RAM se considera conforme si toda su configuración coincide con los valores especificados en los parámetros.
No super administrators exist	La cuenta se considera conforme si ningún usuario, grupo de usuarios o rol de RAM posee una política de permisos donde `Resource` sea `` y `Action` sea ``.
MFA is enabled for the Alibaba Cloud account	La cuenta de Alibaba Cloud se considera conforme si la autenticación multifactor (MFA) está habilitada.
RRSA feature is enabled for ACK clusters	Un clúster de ACK se considera conforme si la función RRSA está habilitada. Esta función proporciona aislamiento de permisos de OpenAPI por pod dentro del clúster, lo que permite un aislamiento detallado de permisos para el acceso a recursos en la nube y reduce los riesgos de seguridad.
ECS instances have instance RAM roles attached	Una instancia de ECS se considera conforme si tiene un rol de RAM de instancia vinculado.
A service role is configured for Function Compute	Un servicio de Function Compute se considera conforme si tiene configurado un rol de servicio. Esto previene riesgos de seguridad derivados de la exposición de una AccessKey de cuenta de Alibaba Cloud.