Elastic Compute Service:Évitez d'utiliser votre compte Alibaba Cloud et accordez des autorisations basées sur les rôles aux utilisateurs RAM

Protégez votre compte Alibaba Cloud

1. Activez l'authentification MFA : Associez un dispositif MFA virtuel à votre compte Alibaba Cloud. Cette mesure ajoute un code de vérification dynamique (jeton mobile ou clé protégée par un matériel dédié) à l'authentification par mot de passe, empêchant ainsi tout accès non autorisé en cas de divulgation de votre mot de passe.

2. Gérez le comportement de connexion :

   • Configurez le contrôle des risques : Limitez la fréquence des connexions. Connectez-vous uniquement lorsque cela est nécessaire, par exemple pour créer un administrateur RAM ou activer un service.

   • Définissez ou purgez un masque de connexion : Autorisez l'accès à la console uniquement depuis des adresses IP spécifiques.

   • Définissez la durée de la session : Réduisez le délai de déconnexion automatique, qui est de 48 heures par défaut, à 4 heures ou moins.

3. Désactivez la clé AccessKey de votre compte Alibaba Cloud : À la place, créez un utilisateur RAM et accordez-lui des autorisations conformément au principe du moindre privilège.

4. Auditez et surveillez régulièrement : Utilisez ActionTrail pour surveiller les événements de connexion de votre compte Alibaba Cloud et détecter tout comportement anormal.

5. Utilisez des utilisateurs RAM pour les opérations quotidiennes : Créez un utilisateur RAM en tant qu'administrateur de compte. Créez des utilisateurs RAM distincts pour différents rôles et accordez-leur des autorisations selon les besoins.

Planifiez les utilisateurs RAM et le contrôle d'accès

Créez des comptes, des rôles et des autorisations en fonction des responsabilités professionnelles. L'exemple suivant illustre l'attribution des rôles dans une entreprise type :

1. Administrateur de compte

   Utilisé uniquement pour créer des utilisateurs RAM, des rôles et des autorisations d'accès. Accordez la politique AliyunRAMFullAccess à ce compte. Bien qu'il ne puisse pas gérer directement les ressources d'autres services Alibaba Cloud, il peut créer des comptes privilégiés. Il s'agit d'un compte hautement sensible ; protégez-le comme suit :

   • Ne créez pas de clé AccessKey pour le compte.

   • Ne créez pas de rôles RAM disposant des mêmes autorisations.

   • Activez l'authentification MFA et restreignez les adresses IP sources autorisées pour la connexion.

2. Administrateur de ressources

   Utilisé pour créer et gérer des ressources telles que les instances ECS, les VPC, les vSwitch, les cartes d'interface réseau, les disques, les groupes de sécurité, les snapshots et les images. Accordez les politiques AliyunECSFullAccess, AliyunVPCFullAccess et AliyunEIPFullAccess. Pour associer un rôle RAM à une instance ECS, accordez également l'autorisation sts:AssumeRole.

   Suggestion : Pour de nombreuses ressources cloud, utilisez des groupes de ressources afin d'isoler les ressources. Créez un compte d'administrateur de ressources ECS distinct pour chaque groupe de ressources afin de séparer les autorisations horizontalement.

3. Ingénieur d'exploitation et de maintenance

   Attribué aux utilisateurs qui se connectent aux instances ECS et les exploitent (par exemple, démarrage et arrêt). Aucune autorisation n'est accordée pour modifier les ressources, les cartes d'interface réseau ou les disques. Personnalisez les autorisations RAM comme suit :

   {
     "Version": "1",
     "Statement": [
       // 1. Read-only permissions to view resource status
       {
         "Effect": "Allow",
         "Action": [
           // View ECS resources
           "ecs:DescribeInstances",        // View instance status
           "ecs:DescribeInstanceStatus",   // Query instance status information
           "ecs:DescribeNetworkInterfaces", // View network interface card status
           "ecs:DescribeDisks",            // View disk status (inferred from the document context)
           "ecs:DescribeSecurityGroups",   // View security group status
           "ecs:DescribeSecurityGroupReferences", // Query authorized security groups
           // View VPCs and vSwitches
           "vpc:DescribeVpcs",             // Query VPC status
           "vpc:DescribeVSwitches",        // Query vSwitch status
           "vpc:DescribeVSwitchAttributes" // Query detailed vSwitch configurations
         ],
         "Resource": "*"  // Allows access to all resources
       },
       // 2. Workbench permissions (logon and read)
       {
         "Effect": "Allow",
         "Action": [
           "ecs-workbench:LoginInstance",  // Permission to log on to an instance using Workbench
           "ecs:DescribeTerminalSessions"  // View Workbench session records
         ],
         "Resource": "*"
       },
       // 3. Cloud Assistant permissions (read, log on, and execute commands)
       {
         "Effect": "Allow",
         "Action": [
           // Read permissions for Cloud Assistant
           "ecs:DescribeCommands",         // View the list of commands
           "ecs:DescribeInvocations",       // View command execution records
           "ecs:DescribeInvocationResults", // View command execution results
           "ecs:DescribeCloudAssistantStatus", // Query the status of Cloud Assistant
           // Permissions to execute commands using Cloud Assistant
           "ecs:InvokeCommand",             // Execute a command
           "ecs:RunCommand"                 // Immediately execute a command
         ],
         "Resource": "*",
         // Restricts command execution to regular users (security best practice)
         "Condition": {
           "StringNotEqualsIgnoreCase": {
             "ecs:CommandRunAs": ["system", "root"]  // Prohibits the use of the root or system account
           }
         }
       }
     ]
   }

   Remarque : Dans cette politique, "Resource": "*" permet de gérer toutes les instances. Pour réduire les risques :

   Tenez compte des éléments suivants :

   • Utilisez des groupes de ressources ou des tags pour limiter la portée des opérations.

   • Utilisez des ARN de ressources granulaires au lieu de caractères génériques pour accorder des autorisations selon les besoins.

4. Rôle d'application

   Les applications peuvent également avoir besoin d'accéder à des services Alibaba Cloud tels qu'OSS et Simple Log Service (SLS). Créez un compte ou un rôle dédié pour chaque application. Ne partagez pas de comptes entre les utilisateurs et les applications, ni entre différentes applications :

   • Interdisez au compte d'application de se connecter à la console.

   • Si votre application est déployée sur ECS (y compris le service de conteneurs), n'utilisez pas de clé AccessKey. Associez plutôt un rôle RAM à l'instance.

Utilisez CloudSSO pour la gestion centralisée des identités

Utilisez CloudSSO si l'une des situations suivantes s'applique :

• Plusieurs employés ont besoin de comptes RAM disposant des mêmes autorisations.

• Plusieurs employés partagent un seul compte RAM.

• Les employés risquent de divulguer des identifiants de plateforme cloud, tels que des clés AccessKey ou des mots de passe de connexion.

CloudSSO est un service de gestion unifiée des identités et de contrôle d'accès multi-comptes basé sur un annuaire de ressources (RD). Les utilisateurs se connectent une seule fois avec un seul jeu d'identifiants et accèdent à plusieurs applications cloud sans avoir à ressaisir leurs mots de passe. Utilisez CloudSSO pour gérer centralement les utilisateurs de l'entreprise sur Alibaba Cloud. Après avoir configuré le SSO entre votre système de gestion des identités d'entreprise et Alibaba Cloud, vous pouvez attribuer centralement des autorisations d'accès à tous les comptes du RD.

• Aucun identifiant cloud requis : Les employés n'ont plus besoin de mots de passe de connexion Alibaba Cloud ni de clés AccessKey, ce qui réduit le risque de divulgation des identifiants.

• Authentification unifiée des identités : Les utilisateurs se connectent avec des comptes d'entreprise internes (tels que des boîtes e-mail professionnelles ou des comptes Active Directory) pour une expérience transparente.

• Gestion centralisée des autorisations : Utilisez des configurations d'accès pour attribuer centralement des autorisations de rôle aux utilisateurs ou aux groupes d'utilisateurs avec un contrôle granulaire.

• Prise en charge des protocoles standard : S'intègre aux fournisseurs d'identité d'entreprise (IdP) basés sur le protocole SAML 2.0.

Consultez la rubrique Premiers pas avec CloudSSO.

Vérifiez les opérations effectuées par votre compte Alibaba Cloud