Resource Access Management:Best practices for identity and access management

1. Evite las operaciones rutinarias con la cuenta de Alibaba Cloud

• Mejor práctica: La cuenta de Alibaba Cloud es similar al usuario root en un sistema Linux. Tiene todos los permisos, pero no es adecuada para el uso diario.

1. Cree un usuario de RAM con permisos de administrador dedicado a la gestión diaria y a las operaciones técnicas.

2. Utilice su cuenta de Alibaba Cloud solo cuando sea necesario y almacene de forma segura su contraseña, MFA y demás credenciales.

3. Realice todas las operaciones diarias con el usuario administrador de RAM para evitar exponer su cuenta de Alibaba Cloud en los entornos cotidianos.

• Recomendaciones:

• Cree usuarios de RAM dedicados: Primero, cree un usuario de RAM con permisos de administrador. Para obtener instrucciones, consulte Create a RAM user as an administrator. Luego, cree un usuario de RAM independiente para cada miembro de su organización. Para obtener instrucciones, consulte Create a RAM user and grant permissions.

• Habilite MFA para la cuenta de Alibaba Cloud: Para completar el reforzamiento de seguridad de la cuenta de Alibaba Cloud, siga Configure MFA for the account.

2. Establezca un mecanismo de inicio de sesión más seguro

• Mejor práctica: Para las identidades humanas, proteger los nombres de usuario y las contraseñas es especialmente importante. Las contraseñas complejas, la rotación periódica y MFA aumentan significativamente la dificultad para descifrar las credenciales de contraseña.

• Guía de operación de RAM:

  • Aumente la complejidad de las contraseñas: Utilice password policy para establecer los requisitos mínimos de longitud y complejidad de las contraseñas de los usuarios de RAM, el período de validez de la contraseña (por ejemplo, un máximo de 90 días) y el límite de reintentos de contraseña. Esto fortalece la seguridad de las contraseñas de los usuarios de RAM.

  • Aplique MFA para los usuarios de RAM:MFA es una segunda línea de defensa más allá de las contraseñas. Incluso si se filtra una contraseña, MFA bloquea eficazmente los inicios de sesión no autorizados. En security settings, puede configurar MFA for RAM user sign-in para todos los usuarios de RAM de la cuenta.

3. Implemente autenticación unificada para identidades humanas (SSO)

• Mejor práctica: Con el inicio de sesión único (SSO), la autenticación de identidad se delega a un proveedor de identidades (IdP) empresarial unificado, por lo que ya no necesita mantener un sistema de contraseñas separado en la nube. El ingreso, la baja y los cambios de permisos de los empleados pueden completarse en un solo IdP, lo que logra una gestión centralizada del ciclo de vida de la identidad.

• Recomendaciones: Utilice la función de gestión de SSO de RAM para federar su IdP empresarial, como Active Directory u Okta, con el sistema de identidad de Alibaba Cloud basado en el protocolo SAML 2.0 u OpenID Connect (OIDC). Según su entorno y requisitos de inicio de sesión, configure user-based SSO o role-based SSO.

  Nota

  Si su empresa utiliza resource directory (RD) para gestionar varias cuentas de Alibaba Cloud, le recomendamos que use cloud single sign-on (CloudSSO) para lograr una gestión unificada de identidades y permisos entre cuentas.

1. Prefiera credenciales temporales (tokens STS)

• Mejor práctica: Una vez creada, una AccessKey permanente sigue siendo válida hasta que se elimina manualmente. Si una AccessKey se filtra, el riesgo persiste y amenaza la seguridad de todos los recursos de la cuenta. Por el contrario, un token de Security Token Service (token STS) obtenido al asumir un RAM Role caduca automáticamente después de la duración de sesión que especifique al asumir el rol. Esta duración no puede exceder la duración máxima de sesión del rol, que se mide en horas. Incluso si el token se filtra accidentalmente, la ventana de tiempo para explotarlo es mínima.

• Recomendaciones: Utilice métodos sin AK para obtener tokens STS, como la asunción de roles de instancia ECS, la asunción de roles de instancia de contenedor o la asunción de roles de Function Compute. Estos métodos sin AK eliminan la necesidad de gestionar pares de AccessKey y evitan por completo su exposición. Para obtener más información, consulte Best practices for obtaining STS tokens.

2. Almacene y utilice correctamente los pares de AccessKey inevitables

• Mejor práctica: En escenarios donde no se pueden usar tokens STS, como en el desarrollo y la depuración locales, si debe usar una AccessKey permanente, evite usar la AccessKey de la cuenta de Alibaba Cloud. Asegúrese de que cada AccessKey sea utilizada por una sola aplicación en un solo entorno y rótela periódicamente.

• Recomendaciones:

  • No utilice la AccessKey de la cuenta de Alibaba Cloud: En escenarios donde se debe usar una AccessKey, reemplácela por la AccessKey de un usuario de RAM que tenga los permisos adecuados. Para obtener instrucciones, consulte .

  • No comparta pares de AccessKey: Cree un RAM User independiente y una AccessKey dedicada para cada aplicación y cada entorno, incluidos desarrollo, pruebas y producción. Para obtener instrucciones, consulte Manage AccessKey pairs. Mantenga seguros su AccessKey ID y AccessKey secret. No comparta la información de AccessKey con otros ni la registre en documentos públicos.

  • Rote los pares de AccessKey periódicamente: Cuando un usuario de RAM tiene dos pares de AccessKey habilitados, utilice uno para las operaciones diarias y reserve el otro exclusivamente para la rotación. Para obtener instrucciones, consulte Manage AccessKey pairs.

  • Otorgue privilegios mínimos: Asigne la directiva de privilegio mínimo correspondiente al escenario al RAM User propietario de la AccessKey. Revise periódicamente review permissions y revoke permissions según sea necesario.

  • Nunca codifique credenciales en el código: Gestione la AccessKey mediante Best practices for obtaining STS tokens o KMS Secrets Manager. Nunca escriba la AccessKey en texto plano dentro de repositorios de código.

  • Restrinja el acceso: Configure directivas de acceso a la red para limitar el acceso mediante AccessKey únicamente a direcciones IP específicas. Para obtener instrucciones, consulte Configure access restrictions.

  • Deshabilite y recicle oportunamente los pares de AccessKey inactivos: Establezca la duración máxima de inactividad de los pares de AccessKey en un plazo no mayor a 365 días. Se recomienda un valor de 90 días. Para obtener instrucciones, consulte Security settings.

  • Supervise y audite: Utilice ActionTrail para supervisar el uso de AccessKey y detectar comportamientos anómalos de manera oportuna.

1. Otorgue acceso con privilegio mínimo

• Mejor práctica: Otorgue a una identidad solo los permisos mínimos necesarios para completar sus tareas previstas. Esto minimiza el impacto potencial en caso de robo de credenciales.

• Recomendaciones:

  • Utilice una directiva personalizada: En escenarios que no son de administrador, evite una directiva del sistema con permisos demasiado amplios, como AdministratorAccess. Utilice custom policy para una autorización detallada y especifique explícitamente el recurso, la acción (Action/NotAction) y la condición (Condition).

  • Revise los permisos regularmente: Revise periódicamente review permissions y revoke permissions según sea necesario.

2. Simplifique la gestión de permisos con grupos de usuarios de RAM

• Mejor práctica: Vincule los permisos a las responsabilidades. Simplifique los cambios de permisos para un solo RAM User convirtiéndolos en ajustes del RAM Group al que está asignado el usuario. Esto mejora la eficiencia de la gestión y mantiene la coherencia de las responsabilidades.

• Recomendaciones:

  • Cree grupos de usuarios de RAM: Cree grupos basados en las responsabilidades laborales de su organización, como un grupo de administradores de red o un grupo de desarrolladores de aplicaciones. Para obtener instrucciones, consulte Create RAM user groups.

  • Configure directivas de permisos: Adjunte directivas de permisos que coincidan con las responsabilidades laborales. Para obtener instrucciones, consulte Attach an access policy to a group. No adjunte directivas directamente a cada RAM User.

3. Establezca límites de permisos en entornos de múltiples cuentas

• Mejor práctica: Para organizaciones con múltiples cuentas de Alibaba Cloud, puede utilizar directivas de control basadas en Resource Directory para restringir el alcance de permisos de las identidades de RAM dentro de las cuentas miembro.

• Recomendaciones: En un entorno de múltiples cuentas con el directorio de recursos habilitado, cuando una identidad de RAM User o de RAM Role en una cuenta miembro intenta acceder a servicios de Alibaba Cloud, este realiza primero una verificación de la directiva de control y luego ejecuta la verificación de permisos de RAM dentro de la cuenta. Para obtener más información, consulte Control policies. Antes de vincular directivas de control, pruébelas primero a pequeña escala para asegurarse de que surtan efecto según lo esperado y, a continuación, vincúlelas a todos los nodos objetivo, incluidas carpetas y miembros.