Gestión de la configuración de seguridad de usuarios de RAM - Resource Access Management

Configure directivas de seguridad uniformes para todos los usuarios de RAM en su cuenta de Alibaba Cloud y establezca una línea base de seguridad. Las directivas disponibles incluyen configuración de seguridad global, autenticación multifactor (MFA) y control de acceso de red.

Procedimiento

Inicie sesión en la RAM console con su cuenta de Alibaba Cloud o con un usuario de RAM que tenga permisos administrativos, como la directiva AliyunRAMFullAccess.
En el panel de navegación izquierdo, seleccione Settings. Configure las directivas en las secciones Security, MFA y Network Access Control.

Nota
Toda la configuración se aplica a todos los usuarios de RAM de su cuenta. Evalúe cuidadosamente los riesgos de las opciones críticas, como Allow users to manage AccessKey.

Configuración de seguridad global

Gestione los permisos para que los usuarios de RAM modifiquen sus propias credenciales (contraseñas, dispositivos MFA y AccessKeys) y configure los ciclos de vida de las sesiones de inicio de sesión y de las credenciales inactivas.

En la sección Security, haga clic en Modify, configure los parámetros según la siguiente tabla y luego haga clic en OK.

Parámetro	Descripción	Recomendación
Allow users to manage password	Si selecciona Enable, los usuarios de RAM pueden gestionar sus propias contraseñas de inicio de sesión. Esta opción está configurada como Enable de forma predeterminada.	Para entornos de alta seguridad: Se recomienda deshabilitar esta opción para permitir que los administradores gestionen centralizadamente el ciclo de vida de las contraseñas. Para entornos de desarrollo ágil: Se recomienda establecer esta opción en Enable para permitir que los usuarios gestionen sus propias contraseñas.
Allow users to manage MFA devices	Si selecciona Enable, los usuarios de RAM pueden vincular o desvincular sus propios dispositivos MFA. Esta opción está configurada como Enable de forma predeterminada.	Para entornos de alta seguridad: Se recomienda deshabilitar esta opción para exigir que los usuarios utilicen dispositivos MFA vinculados por un administrador. Para entornos de desarrollo ágil: Se recomienda establecer esta opción en Enable para permitir que los usuarios gestionen sus propios dispositivos MFA.
Allow users to manage AccessKey	Si selecciona Enable, todos los usuarios de RAM pueden gestionar sus propias AccessKeys, lo que incluye crearlas, deshabilitarlas y eliminarlas. Esta opción está deshabilitada de forma predeterminada.	En entornos de producción, se recomienda deshabilitar esta opción para permitir que los administradores de RAM gestionen y roten las AccessKeys de forma centralizada.
Allow users to manage DingTalk	Duración de la sesión de inicio de sesión en la consola para un usuario de RAM. Unidad: horas. Valores válidos: 1–24. Valor predeterminado: 6. Nota Cuando un usuario inicia sesión en la consola al asumir un rol de RAM o mediante SSO basado en roles, la duración de la sesión también está limitada por la configuración de Enable. La duración resultante no superará este valor. Para obtener más información, consulte Assume a RAM role y SAML response for role-based SSO.	Para equilibrar comodidad y seguridad, se recomienda establecer este valor en la duración de una jornada laboral estándar, por ejemplo, 8 horas.
Login session duration	Si selecciona Login session duration, los usuarios de RAM pueden mantener la sesión iniciada en la aplicación de Alibaba Cloud y en el cliente de Alibaba Cloud ECS durante un máximo de 90 días. Esta opción está deshabilitada de forma predeterminada. Nota Si Alibaba Cloud Security detecta un inicio de sesión anómalo, la sesión se invalida inmediatamente y el usuario debe volver a iniciar sesión.	Esta opción es adecuada para usuarios que necesitan acceso a largo plazo para gestionar recursos desde dispositivos móviles o clientes.
Allow to keep login session for a long time	Si selecciona Enable, los usuarios de RAM pueden iniciar sesión en Alibaba Cloud con una passkey vinculada. Para obtener más información sobre las passkeys, consulte What is a passkey? Esta opción está configurada como Allow users to login with passkey de forma predeterminada.	Se recomienda establecer esta opción en Enable para mejorar la seguridad y la comodidad del inicio de sesión.
Tiempo máximo de inactividad del usuario	Número máximo de días que un usuario de RAM puede permanecer inactivo antes de que se deshabilite automáticamente su acceso a la consola (excluyendo el inicio de sesión único). Valores válidos: 730, 365, 180 o 90 días. Valor predeterminado: 365 días. Momento de entrada en vigor: La configuración entra en vigor al día siguiente (UTC+8). Nota Un usuario de RAM no puede iniciar sesión en la consola si se cumplen ambas condiciones siguientes: El tiempo transcurrido desde el último inicio de sesión del usuario supera el período de inactividad especificado, o el usuario nunca ha iniciado sesión desde su creación hace más tiempo que el período de inactividad. La logon configuration del usuario de RAM no se ha actualizado en los últimos 7 días.	Se recomienda un valor de 90 o 180 días para limpiar oportunamente las cuentas inactivas y reducir los riesgos de seguridad.
Tiempo máximo de inactividad de AccessKey	Número máximo de días que una AccessKey de una cuenta de Alibaba Cloud o de un usuario de RAM puede permanecer inactiva antes de deshabilitarse automáticamente. Valores válidos: 730, 365, 180 o 90 días. Valor predeterminado: 730 días. Momento de entrada en vigor: La configuración entra en vigor al día siguiente (UTC+8). Nota Una AccessKey se deshabilita si se cumplen ambas condiciones siguientes: El tiempo transcurrido desde el último uso de la AccessKey supera el período máximo de inactividad. El estado de la AccessKey no se ha actualizado en los últimos 7 días. Una AccessKey deshabilitada se puede rehabilitar en la RAM console. Vaya a Identities > Users, busque el usuario de RAM correspondiente y haga clic en Enable en la sección de AccessKey. Después de rehabilitar la AccessKey, asegúrese de utilizarla para realizar como mínimo una llamada a API válida dentro de los siguientes 7 días para que se actualice su estado. De lo contrario, la AccessKey se deshabilitará automáticamente de nuevo. Se recomienda crear una nueva AccessKey para la rotación.	Se recomienda un valor de 90 días para deshabilitar oportunamente las AccessKeys inactivas y evitar su uso indebido en caso de compromiso.

Configuración de autenticación multifactor (MFA)

La MFA añade una segunda capa de seguridad para los inicios de sesión de usuarios y las operaciones sensibles. Configure una directiva global de MFA para aplicar requisitos de autenticación consistentes.

En la sección Enable, haga clic en Enable, configure los parámetros según la siguiente tabla y luego haga clic en MFA.

Parámetro	Descripción
Modify	Los métodos de autenticación secundaria disponibles para los usuarios de RAM durante el inicio de sesión en la consola o en operaciones sensibles: OK: Utiliza un dispositivo MFA virtual para la autenticación secundaria. Esta opción está habilitada de forma predeterminada y no se puede modificar. Allowed MFA devices: Utiliza una passkey para la autenticación secundaria. Esta opción está habilitada de forma predeterminada y no se puede modificar. Passkey: Utiliza un correo electrónico de seguridad para la autenticación secundaria. Debe bind a security email para el usuario de RAM para que este método surta efecto. Nota Secure Phone solo es compatible para la autenticación secundaria durante operaciones sensibles. Todas las opciones están seleccionadas de forma predeterminada.
Secure Email	Indica si se debe aplicar MFA a todos los usuarios de RAM durante el inicio de sesión con nombre de usuario y contraseña: Secure Email: Aplica MFA a todos los usuarios de RAM al iniciar sesión. Nota Si selecciona MFA for RAM user sign-in, la función secondary authentication for sensitive operations se habilita para todos los usuarios de RAM. Esto significa que los usuarios de RAM deben volver a autenticarse con MFA cuando realizan operaciones sensibles en la consola. Force all users: Utiliza la configuración de MFA especificada para cada usuario de RAM. Para obtener más información, consulte Manage RAM user logon settings. Force all users: Aplica MFA solo en casos de inicios de sesión no confiables, como desde una nueva ubicación o dispositivo. Nota Si utiliza la clave de condición específica `acs:MFAPresent` en una directiva de permisos, como en el escenario descrito en Use RAM to restrict access to cloud resources for only MFA-enabled RAM users, establecer esta opción en Depend on each user provoca que la condición de la directiva se evalúe como falsa durante los inicios de sesión normales. Para garantizar que la condición funcione como se espera, se recomienda seleccionar Required Only for Unusual Logon. La selección predeterminada es Required Only for Unusual Logon.
Depend on each user	Si selecciona Force all users, no se solicitará MFA nuevamente a los usuarios durante 7 días cuando inicien sesión desde el mismo dispositivo. Este estado recordado se invalida si un usuario de RAM diferente inicia sesión desde el mismo dispositivo. Esta opción está deshabilitada de forma predeterminada.

Configuración de control de acceso de red

Allow to remember MFA validation for 7 days Restrinja el acceso a su cuenta de Alibaba Cloud a direcciones IP de origen específicas para crear un límite de seguridad importante.

Importante

Antes de configurar Enable, agregue una dirección IP estable y controlable (como la IP de salida de la red de su oficina) a la lista de permitidos. Esto servirá como punto de acceso de emergencia si una configuración incorrecta impide que todos los usuarios inicien sesión.
Si un usuario de RAM no puede iniciar sesión debido a una restricción de IP, contacte a un administrador para que inicie sesión con la cuenta de Alibaba Cloud y modifique la máscara de inicio de sesión.

En la sección Network Access Control, configure los parámetros según la siguiente tabla y luego haga clic en Network Access Control.

Haga clic en Modify junto al parámetro deseado para abrir la página de configuración.

Parámetro

Descripción

Network Access Control

Las direcciones IP de origen desde las cuales los usuarios pueden iniciar sesión en la consola mediante contraseña o SSO. Deje este campo en blanco para permitir el acceso desde cualquier dirección IP.

Formato: Solo se admiten direcciones IPv4. Separe varias direcciones con un espacio, una coma o un punto y coma.

Límite: Puede agregar hasta 200 direcciones IP.

Las direcciones IP de origen desde las cuales se pueden realizar llamadas a API. Esta es una directiva a nivel de cuenta que se aplica a todas las AccessKeys. Deje este campo en blanco para permitir el acceso desde cualquier dirección IP.
También puede establecer una restricción de red más específica para una AccessKey individual, la cual tiene prioridad sobre esta directiva a nivel de cuenta. Para obtener más información, consulte AccessKey network access restriction policy.