Resource Access Management:Create an AccessKey pair

¿Qué es un par de AccessKey?

Un par de AccessKey consta de un AccessKey ID y un AccessKey secret, que se usan en conjunto para autenticar las solicitudes programáticas hacia Alibaba Cloud.

• AccessKey ID: el identificador público y único del par de AccessKey.

• AccessKey secret: la clave privada que se usa para firmar las solicitudes de API. La firma comprueba la autenticidad e integridad de la solicitud. Debe mantener su AccessKey secret bajo estricta confidencialidad.

Tipos de AccessKey

Los pares de AccessKey se dividen en dos tipos según su propietario:

• Par de AccessKey de la cuenta de Alibaba Cloud (no recomendado)

  Este par de AccessKey pertenece a la cuenta de Alibaba Cloud. De manera predeterminada, tiene permisos completos sobre todos los recursos de la cuenta. Si se ve comprometido, el riesgo de seguridad es extremadamente alto. Se recomienda encarecidamente no crear ni usar un par de AccessKey para su cuenta de Alibaba Cloud.

• Par de AccessKey de un usuario de RAM (recomendado)

  Este par de AccessKey pertenece a un usuario de RAM, el cual debe crear primero. El par de AccessKey hereda los permisos del usuario de RAM, lo que permite gestionar el acceso con el principio de mínimo privilegio. Como práctica recomendada, asigne un usuario de RAM y un par de AccessKey independientes para cada aplicación. Esto evita otorgar permisos excesivos y reduce el impacto si las credenciales se ven comprometidas.

Requisitos de permisos

Una cuenta de Alibaba Cloud tiene permisos sin restricciones, por lo que debe evitar usarla para crear pares de AccessKey en producción. En su lugar, utilice un usuario de RAM con los permisos adecuados para crear y gestionar pares de AccessKey (excepto los que pertenecen a la cuenta de Alibaba Cloud).

• Puede asignar la política de sistema AliyunRAMFullAccess (administrador de RAM) a un administrador para permitirle crear y gestionar pares de AccessKey de los usuarios de RAM.

• También puede habilitar la opción Allow users to manage AccessKey en la configuración de seguridad global de RAM para que los usuarios gestionen sus propios pares de AccessKey. Para obtener más información, consulte Manage security settings for RAM users.

  Nota

  Habilitar esta configuración implica que todos los usuarios de RAM podrán gestionar sus propios pares de AccessKey, lo que incluye crearlos, deshabilitarlos y eliminarlos, a menos que un administrador adjunte una política que deniegue explícitamente estas operaciones.

  No se recomienda habilitar esta configuración en un entorno de producción. Para permitir que un usuario específico gestione su propio par de AccessKey, se recomienda utilizar una política personalizada y establecer el elemento Resource con la identidad del propio usuario. Consulte las siguientes políticas de ejemplo:

  Create AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Manage AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Crear un AccessKey para un usuario de RAM

Complete los siguientes pasos como administrador de RAM (un usuario con la política AliyunRAMFullAccess). Si no tiene usuarios de RAM en su cuenta, consulte Create a RAM user.

Crear un AccessKey para una cuenta de Alibaba Cloud (no recomendado)

1. Inicie sesión en la consola de Alibaba Cloud con su cuenta de Alibaba Cloud.

2. Coloque el cursor sobre su foto de perfil en la esquina superior derecha y haga clic en AccessKey.

3. En el cuadro de diálogo We do not recommend that you use the AccessKey of your Alibaba Cloud account, lea los riesgos de crear un par de AccessKey para su cuenta de Alibaba Cloud. Si necesita continuar, active la casilla I am aware of the security risks of using a main account AccessKey. y luego haga clic en Continue to use the AccessKey of my Alibaba Cloud account.

4. En la página AccessKey, haga clic en Create AccessKey.

   Nota

   Una cuenta de Alibaba Cloud puede tener un máximo de dos pares de AccessKey. Uno se destina al uso activo y el segundo a la rotación.

5. En el cuadro de diálogo Create Main Account AccessKey, revise nuevamente los riesgos y las limitaciones. Si está seguro de que desea crear el par de AccessKey, active la casilla I am aware of the security risks of using a main account AccessKey. y luego haga clic en Continue to use the AccessKey of my Alibaba Cloud account.

6. En el cuadro de diálogo Create AccessKey, guarde el AccessKey ID y el AccessKey secret. Luego, active la casilla I have saved the AccessKey Secret y haga clic en OK.

   (Recomendado) Configurar una política de ACL de red para el AccessKey: puede restringir las direcciones IP de origen de las solicitudes de API que utilizan este par de AccessKey. Esto ayuda a mejorar la seguridad, ya que garantiza que el par de AccessKey solo se use desde entornos de red de confianza. Se recomienda hacer clic en Configure network access policy para definir los entornos de red de confianza para este par de AccessKey. Para obtener más información, consulte Configure an AccessKey network ACL policy for an Alibaba Cloud account.

   Importante

   Para reducir el riesgo de filtración, el AccessKey secret de una cuenta de Alibaba Cloud se muestra solo al momento de crearlo y no se puede recuperar.

Referencias

• FAQ about AccessKey pairs

• Best practices for using access credentials to access Alibaba Cloud APIs

• Handle leaked AccessKey pairs

• AccessKey network ACL policy