Un par de AccessKey (AK) es la credencial que se utiliza para la autenticación cuando usted llama a las operaciones de API de Alibaba Cloud. Los incidentes de seguridad han demostrado que, una vez que un AK se compromete, los atacantes pueden tomar rápidamente el control de la cuenta asociada. Esto interrumpe sus cargas de trabajo en la nube y genera cargos excesivos o filtraciones de datos. Para proteger sus recursos en la nube, Alibaba Cloud aplica protección restrictiva al AK cuando detecta indicios de compromiso y así evita daños mayores.
Síntomas de la protección restrictiva de AK
Cuando accede a Alibaba Cloud mediante llamadas directas a la API o con herramientas de desarrollo como CLI, SDK o Terraform, el siguiente mensaje de error indica que el AK utilizado para la autenticación se encuentra bajo protección restrictiva:
Forbidden : There is a risk of leakage of this AccessKey.Alcance de la protección restrictiva de AK
La protección restrictiva de AK se aplica a ciertas operaciones de API de alto riesgo, sin importar la dirección IP de origen ni el método de acceso. La lista de operaciones de API restringidas está sujeta a cambios. Para consultar la lista actual, consulte Restricted API operations.
Quitar la protección restrictiva de AK
Dado que un AK no se puede modificar después de su creación, un AK comprometido sigue representando un riesgo hasta que se elimina o se rota. Por este motivo, no es posible quitar la protección restrictiva.
La lista de API restringidas abarca un conjunto limitado de operaciones. Los atacantes aún pueden usar un AK comprometido para llamar a operaciones de API fuera de esta lista y afectar sus cargas de trabajo en la nube. Por lo tanto, la protección restrictiva es una medida temporal. Siga las instrucciones de AccessKey leak response plan para eliminar o rotar el AK y mitigar el riesgo.
Si necesita ayuda durante este proceso o no está de acuerdo con la medida de protección restrictiva, vaya a la Emergency Response página y haga clic en Contact Support.
Cómo evitar que se active la protección restrictiva
Después de crear un par de AccessKey (AK), configure una política de restricción de acceso de red para limitar los orígenes de las llamadas a la API a direcciones IP de confianza.
Configurar una política de restricción de acceso de red
En la página de detalles del usuario de la consola de RAM, haga clic en la pestaña Credentials.
En la sección del par de AccessKey, haga clic en Network Access Restriction Policy en la columna Actions del AK correspondiente.
Active la política, agregue una política de acceso público e introduzca las direcciones IP de origen de confianza.
Introduzca el AccessKey ID para confirmar el cambio y, a continuación, envíe la solicitud.
Si no configura una política de acceso público ni una política de acceso de VPC, todo el acceso del tipo de red correspondiente se bloquea de forma predeterminada.
Las políticas de restricción de acceso de red son de dos tipos: la política de acceso público, que restringe las direcciones IP de origen, y la política de acceso de VPC, que restringe tanto la VPC como las direcciones IP de origen.
Rotar un par de AccessKey
En la pestaña Credentials, haga clic en Create AccessKey.
Seleccione un escenario de uso y complete la verificación MFA para crear un nuevo par de AccessKey.
Actualice sus aplicaciones para que usen el nuevo par de AccessKey. Una vez que confirme que su negocio funciona según lo esperado, deshabilite y elimine el par de AccessKey anterior.
Para conocer los pasos detallados, consulte Rotate the AccessKey pair of a RAM user.
Operaciones de API restringidas
|
Servicio |
Versión de la API |
API |
Descripción |
|
Resource Access Management (RAM) |
2015-05-01 |
All |
N/A |
|
Identity Management Service (IMS) |
2019-08-15 |
All |
N/A |
|
CloudSSO |
2021-05-15 |
EnableService |
Activar CloudSSO |
|
Elastic Compute Service (ECS) |
2014-05-26 |
RunInstances |
Crear una o más instancias ECS de pay-as-you-go o de suscripción |
|
CreateInstance |
Crear una instancia ECS de suscripción o pay-as-you-go |
||
|
CreateAutoProvisioningGroup |
Crear un grupo de aprovisionamiento automático |
||
|
StartInstance |
Iniciar una instancia |
||
|
StartInstances |
Iniciar instancias |
||
|
RunCommand |
Ejecutar un script en instancias |
||
|
DeleteInstance |
Eliminar una instancia ECS |
||
|
DeleteInstances |
Eliminar instancias ECS por lotes |
||
|
DeleteSnapshotGroup |
Eliminar un grupo de instantáneas |
||
|
DeleteSnapshot |
Eliminar una instantánea |
||
|
DeleteImage |
Eliminar una imagen personalizada |
||
|
CreateCommand |
Crear un comando de Cloud Assistant |
||
|
InvokeCommand |
Ejecutar un comando de Cloud Assistant en una o más instancias ECS |
||
|
Elastic Container Instance (ECI) |
2018-08-08 |
CreateContainerGroup |
Crear un grupo de contenedores |
|
BatchCreateContainerGroups |
Crear grupos de contenedores por lotes |
||
|
DeleteContainerGroup |
Eliminar un grupo de contenedores |
||
|
DeleteContainerGroups |
Eliminar grupos de contenedores por lotes |
||
|
Short Message Service (SMS) |
2017-05-25 |
AddSmsTemplate |
Solicitar una plantilla de SMS |
|
SendSms |
Enviar un mensaje SMS |
||
|
SendBatchSms |
Enviar mensajes SMS por lotes |
||
|
CreateSmsTemplate |
Solicitar una plantilla de SMS |
||
|
Elastic Desktop Service (EDS) |
2020-09-30 |
StartDesktops |
Iniciar escritorios en la nube |
|
CreateDesktops |
Crear escritorios en la nube |
||
|
CreateDesktopGroup |
Crear un grupo de escritorios |
||
|
ModifyDesktopGroup |
Modificar un grupo de escritorios |
||
|
RebootDesktops |
Reiniciar escritorios en la nube |
||
|
RebuildDesktops |
Cambiar la imagen de los escritorios en la nube |
||
|
GetConnectionTicket |
Conectarse a un escritorio en la nube |
||
|
ModifyDesktopSpec |
Modificar las especificaciones de un escritorio en la nube |
||
|
RunCommand |
Ejecutar un comando remoto en un escritorio en la nube |
||
|
Performance Testing Service (PTS) |
2019-08-10 |
StartJMeterTesting |
Iniciar una prueba de JMeter |
|
SaveJMeterScene |
Guardar un escenario de JMeter |
||
|
CreateJMeterScene |
Crear un escenario de JMeter |
||
|
CreateCronJob |
Crear una prueba de estrés programada |
||
|
StartSceneTesting |
Iniciar una prueba de estrés |
||
|
StartDebugging |
Iniciar una tarea de depuración |
||
|
CreateScene |
Crear un escenario |
||
|
SaveScene |
Guardar un escenario |
||
|
Performance Testing Service (PTS) |
2020-10-20 |
SaveOpenJMeterScene |
Guardar un escenario |
|
StartDebuggingJMeterScene |
Depurar un escenario |
||
|
StartTestingJMeterScene |
Ejecutar una prueba de estrés en un escenario |
||
|
SavePtsScene |
Guardar o modificar un escenario |
||
|
CreatePtsScene |
Crear un escenario |
||
|
StartDebugPtsScene |
Depurar un escenario |
||
|
StartPtsScene |
Iniciar un escenario |
||
|
ApsaraDB RDS for MySQL |
2014-08-15 |
ModifyBackupPolicy |
Modificar la política de copia de seguridad de una instancia |
|
DeleteBackup |
Eliminar los archivos de copia de seguridad de una instancia |
||
|
DescribeBackups |
Consultar el conjunto de copias de seguridad de una instancia RDS |
||
|
DeleteDBInstance |
Liberar una instancia RDS |
||
|
DestroyDBInstance |
Destruir una instancia |
||
|
DeleteDatabase |
Eliminar una base de datos |
||
|
CreateAccount |
Crear una cuenta de base de datos |
||
|
ResetAccountPassword |
Restablecer la contraseña de una cuenta de base de datos |
||
|
ResetAccount |
Restablecer los permisos de una cuenta con privilegios |
||
|
GrantAccountPrivilege |
Otorgar permisos de acceso a la base de datos a una cuenta |
||
|
Database Disaster Recovery (DBS) |
2021-01-01 |
ModifyBackupStrategy |
Modificar la programación de la copia de seguridad |
|
CreateDownload |
Crear una tarea de descarga |
||
|
DescribeDownloadBackupSetStorageInfo |
Consultar la información de almacenamiento de un conjunto de copias de seguridad descargable |
||
|
Alibaba Cloud DNS |
2015-01-09 |
DeleteDomain |
Eliminar un nombre de dominio |
|
AddDomainRecord |
Agregar un registro DNS |
||
|
DeleteDomainRecord |
Eliminar un registro DNS |
||
|
UpdateDomainRecord |
Modificar un registro DNS |
||
|
SetDomainRecordStatus |
Establecer el estado de un registro DNS |
||
|
Alibaba Cloud Billing |
2017-12-14 |
RefundInstance |
Cancelar la suscripción de una instancia |
|
Instant Computing Service |
2023-07-01 |
CreateJob |
Crear un trabajo de E-HPC Instant |
|
CreatePool |
Crear un pool de recursos |
||
|
Elastic High Performance Computing (E-HPC) |
2024-07-30 |
CreateCluster |
Crear un clúster |
|
CreateNodes |
Crear nodos de cómputo por lotes |
||
|
Data Management (DMS) |
2018-11-01 |
CreateOrder |
Crear un ticket |
|
CreateDataExportOrder |
Crear un ticket de exportación de conjuntos de resultados SQL |
||
|
CreateDatabaseExportOrder |
Crear un ticket de exportación de base de datos |
||
|
CreateDataCorrectOrder |
Crear un ticket de cambio de datos estándar |
||
|
CreateDataCronClearOrder |
Crear un ticket de limpieza de datos históricos |
||
|
CreateDataImportOrder |
Crear un ticket de importación de datos |
||
|
CreateFreeLockCorrectOrder |
Crear un ticket de cambio sin bloqueo |
||
|
GetDataExportDownloadURL |
Obtener la URL de descarga de un resultado de exportación de datos |
||
|
GetDbExportDownloadURL |
Obtener la URL de descarga de un resultado de exportación de base de datos |
||
|
CreateProcCorrectOrder |
Crear un ticket de cambio de objeto programable |