La filtración de pares de AccessKey o tokens de STS de cuentas de Alibaba Cloud o usuarios de RAM compromete sus recursos en la nube y su negocio. Siga estas prácticas para proteger sus credenciales y evitar accesos no autorizados.
Alibaba Cloud utiliza dos tipos de credenciales: los pares de AccessKey y los tokens de Security Token Service (STS). Para obtener más información, consulte Credentials.
Errores comunes
Incluir pares de AccessKey directamente en el código los expone a cualquier persona con acceso al repositorio. Publicar ese código en plataformas de código abierto o servicios de hosting aumenta el riesgo.
Insertar pares de AccessKey en el código del lado del cliente permite que un atacante los extraiga mediante descompilación.
Compartir documentación o materiales expone los pares de AccessKey.
El código de ejemplo en la documentación expone los pares de AccessKey.
Las respuestas de API exponen pares de AccessKey fuera del alcance de gestión previsto.
Soluciones de seguridad
Evite transmitir o incluir credenciales directamente en el código durante el desarrollo.
No utilice el par de AccessKey de su cuenta de Alibaba Cloud
Una cuenta de Alibaba Cloud tiene todos los permisos sobre todos los recursos. Por lo tanto, la filtración de su par de AccessKey representa un riesgo crítico. Nunca utilice directamente el par de AccessKey de una cuenta de Alibaba Cloud.
Evite incluir las credenciales directamente en el código
Guarde las credenciales en variables de entorno. A continuación se usan ALIBABA_CLOUD_ACCESS_KEY_ID y ALIBABA_CLOUD_ACCESS_KEY_SECRET. Para obtener más información, consulte Configure environment variables on Linux, macOS, and Windows.
Código de ejemplo:
public static com.aliyun.ecs20140526.Client createClient() throws Exception {
com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config()
.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
config.endpoint = "ecs.cn-shanghai.aliyuncs.com";
return new com.aliyun.ecs20140526.Client(config);
}Utilice KMS para gestionar las credenciales
Key Management Service (KMS) gestiona sus credenciales de forma segura. Para obtener más información, consulte Secret management. Secrets Manager en KMS rota los secretos de RAM de manera programada o bajo demanda. Con el complemento de secretos de RAM instalado, su aplicación recupera dinámicamente el par de AccessKey actual. Para obtener más información, consulte Manage and use RAM secrets.
Utilice un rol de RAM de instancia
Asigne un rol de RAM de instancia a una instancia de Elastic Compute Service (ECS), a una instancia de contenedor elástico o a un nodo worker de Container Service for Kubernetes (ACK). El servidor de metadatos de ECS proporciona tokens de STS, lo que elimina la necesidad de incluir pares de AccessKey directamente en el código. Para obtener más información, consulte Instance RAM roles, Use an instance RAM role using API operations y Assign a RAM role to an ECI pod.
Utilice la función RRSA
En ACK, un nodo worker puede alojar pods de varios servicios. Cualquier pod puede acceder al servidor de metadatos de ECS y obtener el token de STS del rol de RAM del nodo worker, lo que provoca filtraciones de permisos. RAM Roles for Service Accounts (RRSA) ofrece control de acceso en cada pod mediante la inyección de información de OpenID Connect (OIDC) en variables de entorno. Utilice la herramienta Alibaba Cloud Credentials para obtener tokens de STS. Para obtener más información, consulte Use RRSA for pod-level access control.
Utilice la herramienta Alibaba Cloud Credentials
La herramienta Alibaba Cloud Credentials proporciona una cadena de proveedores de credenciales predeterminada que elimina la necesidad de incluirlas directamente en el código. Para obtener más información, consulte Manage credentials.
Detecte filtraciones de AccessKey con Security Center
Security Center supervisa GitHub en tiempo real para detectar pares de AccessKey expuestos de cuentas de Alibaba Cloud y usuarios de RAM, y genera alertas cuando los encuentra. Atienda los eventos de filtración de inmediato. Para obtener más información, consulte AccessKey pair leak detection.
Atienda las filtraciones de pares de AccessKey
Filtraciones de pares de AccessKey
-
Deshabilite o elimine un par de AccessKey
Deshabilite o elimine de inmediato el par de AccessKey comprometido y cree uno de reemplazo. Para obtener más información, consulte Disable a RAM user's access key y Delete a RAM user's AccessKey.
-
Consulte los eventos del par de AccessKey
Utilice la función de auditoría de pares de AccessKey de ActionTrail para consultar los detalles del par de AccessKey, including accessed services, IP addresses, and resources. This helps trace usage and identify leaks.
STS token leaks
Un token de STS tiene una vigencia de entre 15 minutos y 12 horas. Incluso dentro de este periodo, un token filtrado representa riesgos de seguridad graves. Para invalidar un token de STS comprometido:
Inicie sesión en la consola de RAM.
-
Desvincule todas las políticas del rol de RAM.
Para obtener más información, consulte Revoke permissions from a RAM role.
-
Como alternativa, elimine por completo el rol de RAM.
Para obtener más información, consulte Delete a RAM role.
Esta acción invalida de inmediato todos los tokens de STS vigentes de ese rol.
Si necesita volver a utilizar el rol después, cree uno nuevo con el mismo nombre y las mismas políticas.
Referencias
Temas relacionados: