Para proteger su cuenta de Alibaba Cloud y sus recursos en la nube, no utilice su cuenta de Alibaba Cloud para acceder a Cloud Shell a menos que sea estrictamente necesario. En su lugar, use identidades de Resource Access Management (RAM), como usuarios y roles de RAM.
Usuarios de RAM
Los usuarios de RAM se crean mediante cuentas de Alibaba Cloud o con usuarios y roles de RAM que tengan privilegios administrativos. Una vez que un usuario de RAM recibe los permisos obligatorios, puede usar Alibaba Cloud Management Console o llamar a operaciones de API para acceder a los recursos de Alibaba Cloud dentro de la cuenta a la que pertenece.
Se recomienda tener en cuenta a continuación los siguientes puntos:
Utilice su cuenta de Alibaba Cloud para crear un usuario de RAM y otorgarle privilegios administrativos. Después, use ese usuario de RAM para crear y gestionar otros usuarios de RAM.
-
Separe los usuarios de RAM destinados a personas de los diseñados para programas.
Al crear un usuario de RAM, seleccione Console Access, Using permanent AccessKey to access o ambas opciones en el parámetro Access Mode.
Para acceder a los recursos, un usuario de RAM configurado para consola inicia sesión en Alibaba Cloud Management Console con su nombre de usuario y contraseña. Por otro lado, un usuario de RAM diseñado para acceso mediante pares de AccessKey realiza llamadas a la API. Se recomienda separar los usuarios de RAM de personas de los de programas para evitar el impacto de operaciones no deseadas. Además, habilite la autenticación multifactor (MFA) en los usuarios de RAM destinados al acceso por consola.
-
Otorgue permisos a los usuarios de RAM según el principio de mínimo privilegio.
Los permisos de mínimo privilegio son aquellos estrictamente necesarios para ejecutar una operación. Este enfoque mejora la seguridad de los datos y previene el abuso de permisos.
No inserte su AccessKey ID ni su AccessKey secret directamente en el código para evitar filtraciones del par de AccessKey. Una filtración compromete la seguridad de todos los recursos de su cuenta. Se recomienda utilizar tokens de Security Token Service (STS) o configurar variables de entorno para obtener los permisos de acceso.
Si aplica, habilite el inicio de sesión único (SSO) para los usuarios de RAM. Esto les permite iniciar sesión y acceder a los recursos de Alibaba Cloud desde los sistemas de gestión de identidades de su empresa.
Operaciones relacionadas
Grupos de usuarios de RAM
Si utiliza su cuenta de Alibaba Cloud para crear varios usuarios de RAM, agrúpelos para facilitar la gestión de permisos. Por ejemplo, puede otorgar los mismos permisos a todos los usuarios de RAM dentro de un mismo grupo. Se recomienda considerar a continuación los siguientes puntos:
Otorgue permisos a los grupos de usuarios de RAM según el principio de mínimo privilegio.
Elimine un usuario de RAM de su grupo si cambian sus responsabilidades laborales.
Revoque los permisos de los grupos de usuarios de RAM cuando estos ya no los necesiten.
Operaciones relacionadas
Roles de RAM
Un rol de RAM es un tipo de identidad de RAM con políticas adjuntas. A diferencia de un usuario de RAM, un rol no está vinculado a una sola persona o aplicación; cualquier entidad de confianza puede asumirlo. Los roles no tienen credenciales a largo plazo, como contraseñas o pares de AccessKey. Cuando una entidad asume un rol, Security Token Service (STS) genera credenciales de seguridad temporales válidas únicamente para esa sesión.
Se recomienda tener en cuenta a continuación los siguientes puntos:
Evite modificar con frecuencia la entidad de confianza de un rol de RAM después de crearlo. Cambiar esta entidad puede provocar la pérdida de permisos y afectar su negocio. Si agrega una entidad de confianza, podrían surgir riesgos de seguridad por escalada de privilegios. Compruebe exhaustivamente los cambios antes de aplicarlos a un rol de RAM.
-
Una vez que una entidad de confianza recibe un permiso, puede llamar a la operación AssumeRole para obtener un token de STS y asumir un rol de RAM. Para más información, consulte AssumeRole. Un token de STS tiene validez por un periodo limitado. Establezca este periodo de validez en un valor adecuado para reducir los riesgos de seguridad.
NotaEl periodo máximo de validez de un token de STS corresponde a la duración máxima de sesión especificada para el rol de RAM. Establezca la duración máxima de sesión de un rol de RAM en un valor adecuado para minimizar los riesgos de seguridad.
Si aplica, habilite SSO para los roles de RAM. De este modo, podrán iniciar sesión y acceder a los recursos de Alibaba Cloud desde los sistemas de gestión de identidades de su empresa.