La gestion des identités et le contrôle d'accès permettent de centraliser la gestion des identités utilisateurs sur Alibaba Cloud. En exploitant les fonctionnalités natives d'Alibaba Cloud, vous pouvez restreindre l'accès et la gestion des ressources aux seuls utilisateurs authentifiés et autorisés. Cette approche prévient les accès malveillants par des tiers non autorisés et répond aux exigences de conformité et d'audit. Cette rubrique détaille les capacités de sécurité prises en charge par Elastic Compute Service (ECS) dans ce domaine : renforcement de la sécurité d'authentification, amélioration du contrôle d'accès et sécurisation des identités et des permissions.
-
Renforcer la sécurité d'authentification
Pour sécuriser votre compte Alibaba Cloud, activez l'authentification multifacteur (MFA) et utilisez les paires AccessKey d'un utilisateur Resource Access Management (RAM) pour vos applications, plutôt que celles de votre compte principal. Une paire AccessKey se compose d'un AccessKey ID et d'un AccessKey secret. N'exposez jamais ces identifiants en clair sur des plateformes de développement externes. Supprimez régulièrement les utilisateurs RAM inutilisés depuis longtemps et privilégiez l'usage de jetons temporaires Security Token Service (STS) à durée de vie limitée.
-
Améliorer la sécurité du contrôle d'accès
Pour attribuer des permissions adaptées aux différentes responsabilités, utilisez les politiques système prédéfinies par ECS ainsi que des politiques RAM personnalisées. Organisez vos ressources via des groupes de ressources selon divers critères (utilisation des ressources cloud, structure organisationnelle, etc.) et accordez l'accès à ces groupes à différents utilisateurs. L'utilisation de tags permet également une gestion fine des ressources Alibaba Cloud.
-
Sécuriser les identités et les permissions
Associez des rôles RAM aux instances ECS plutôt que d'utiliser des paires AccessKey en clair. Activez également ActionTrail pour réaliser des analyses comportementales et de sécurité a posteriori, afin d'identifier les risques potentiels et de satisfaire aux exigences de conformité et d'audit .
Renforcer la sécurité d'authentification
L'authentification consiste à vérifier l'identité d'un utilisateur à l'aide d'identifiants. Généralement, les utilisateurs s'authentifient via un mot de passe ou un AccessKey secret lors de la connexion aux instances ECS.
Activer l'authentification MFA
-
Présentation de la fonctionnalité
L'authentification MFA est un modèle simple et efficace qui ajoute une couche de protection supplémentaire au couple nom d'utilisateur/mot de passe. Elle vérifie l'identité des utilisateurs lors de la connexion à la console ou de l'exécution d'opérations sensibles, garantissant ainsi la sécurité de votre compte Alibaba Cloud. L'activation de la MFA n'affecte pas les appels d'API effectués avec des paires AccessKey. Pour plus d'informations, reportez-vous à la rubrique Qu'est-ce que l'authentification multifacteur ?.
-
Méthode de configuration
Évitez d'utiliser la paire AccessKey de votre compte Alibaba Cloud pour vous connecter à une instance ECS. Activez plutôt la MFA pour ajouter une couche de sécurité supplémentaire à la protection de votre compte. Une fois la MFA activée, un code d'authentification généré par un dispositif MFA vous sera demandé lors de la connexion à une instance ECS. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un compte Alibaba Cloud.
Utiliser des utilisateurs RAM plutôt que des comptes Alibaba Cloud et leur associer les politiques RAM nécessaires
Accordez les permissions d'accès aux ressources ECS aux utilisateurs RAM en respectant strictement le principe du moindre privilège. Ne partagez pas vos comptes et n'attribuez pas plus de permissions que nécessaire.
Si vous disposez de plusieurs instances ECS et que plusieurs entités de votre organisation (employés, systèmes ou applications) doivent y accéder, créez des utilisateurs RAM pour ces entités et associez-leur des politiques RAM appropriées. Cette méthode élimine les risques de fuite de paires AccessKey et permet un contrôle d'accès granulaire au niveau du compte sur les ressources ECS. Pour plus d'informations, reportez-vous à la rubrique Utilisateurs RAM.
RAM propose deux types d'identités pouvant être authentifiées et autorisées : les utilisateurs RAM (identités physiques) et les rôles RAM (identités virtuelles). Les identités virtuelles doivent être endossées par des identités physiques pour prendre effet. Pour plus d'informations, consultez la rubrique Identités.
Prévenir les fuites de paires AccessKey
Les paires AccessKey sont les identifiants permettant aux comptes Alibaba Cloud d'accéder aux API ; elles doivent être stockées dans un emplacement sécurisé. Pour éviter les menaces liées à une utilisation malveillante, ne divulguez jamais vos paires AccessKey, notamment sur des plateformes comme GitHub. La divulgation de la paire AccessKey d'un compte Alibaba Cloud expose toutes ses ressources à des risques. Suivez les recommandations de sécurité suivantes pour minimiser les risques de fuite :
N'intégrez pas les paires AccessKey directement dans le code source.
Faites tourner régulièrement vos paires AccessKey.
Révoquez régulièrement les paires AccessKey devenues inutiles.
Utilisez des utilisateurs RAM en appliquant le principe du moindre privilège.
Configurez le paramètre
acs:SourceIppour contrôler l'accès aux API Alibaba Cloud depuis des adresses IP publiques spécifiques.Définissez le paramètre
acs:SecureTransportsur true afin d'imposer l'accès aux fonctionnalités et ressources via HTTPS.
Améliorer la sécurité du contrôle d'accès
Attribuer des permissions selon les responsabilités
RAM vous permet de garder votre compte Alibaba Cloud et votre paire AccessKey strictement confidentiels lorsque plusieurs utilisateurs de votre entreprise gèrent les ressources de manière collaborative. Ce service vous permet également d'accorder aux utilisateurs les permissions minimales requises, garantissant ainsi un haut niveau de sécurité.
Par défaut, un compte Alibaba Cloud dispose de toutes les permissions sur les ressources qu'il contient, tandis que les utilisateurs RAM créés n'en ont aucune. Le compte Alibaba Cloud doit donc explicitement accorder des permissions aux utilisateurs RAM. Pour attribuer des permissions à un utilisateur ou un rôle RAM, procédez comme suit :
-
Sélectionnez ou créez des politiques.
RAM prend en charge les politiques système et les politiques personnalisées. Les politiques système sont créées et maintenues par Alibaba Cloud ; vous pouvez les utiliser mais pas les modifier. Les politiques personnalisées sont définies par l'utilisateur ; vous pouvez les créer, les mettre à jour et les supprimer.
Pour obtenir la liste des politiques système pour ECS, consultez la rubrique Politiques système pour ECS.
Pour obtenir des informations sur les politiques personnalisées pour ECS, reportez-vous à la rubrique Politiques personnalisées pour ECS.
-
Accordez des permissions à l'utilisateur ou au rôle RAM.
Vous pouvez associer une ou plusieurs politiques (système ou personnalisées) à un utilisateur ou un rôle RAM au sein d'un compte Alibaba Cloud. Vous pouvez ainsi accorder des permissions sur toutes les ressources du compte ou uniquement sur celles contenues dans un groupe de ressources spécifique.
Pour savoir comment accorder des permissions à un utilisateur RAM, consultez la rubrique Utilisateurs RAM.
Pour savoir comment accorder des permissions à un rôle RAM, reportez-vous à la rubrique Rôles RAM.
Utiliser des groupes de ressources pour une gestion fine
-
Présentation de la fonctionnalité
Les groupes de ressources vous permettent d'organiser vos ressources Alibaba Cloud selon différents critères (utilisation, permissions, propriétaires, etc.). Ils facilitent la gestion hiérarchique des ressources entre plusieurs utilisateurs et projets. Chaque ressource cloud ne peut appartenir qu'à un seul groupe de ressources. L'ajout de ressources à des groupes ne modifie pas leurs associations existantes. Par exemple, vous pouvez placer les instances de production dans un groupe nommé « Production Environment » et celles de préproduction dans un groupe nommé « Test Environment ». Pour plus d'informations, consultez la rubrique Qu'est-ce qu'un groupe de ressources ?
-
Méthode de configuration
Pour créer un groupe de ressources, reportez-vous à la rubrique Créer un groupe de ressources.
-
Ajoutez des instances ECS aux groupes de ressources.
Vous pouvez assigner une instance ECS à un groupe de ressources dès sa création. Pour plus d'informations, consultez la rubrique Créer une instance via l'onglet Custom Launch.
Vous pouvez déplacer des instances ECS existantes d'un groupe de ressources vers un autre. Pour plus d'informations, reportez-vous à la rubrique Effectuer un transfert manuel de ressources entre groupes de ressources.
Pour découvrir des cas d'usage illustrant la catégorisation et la gestion des ressources ECS via des groupes de ressources, consultez les rubriques Utiliser un groupe de ressources pour accorder à un utilisateur RAM les permissions de gérer une instance ECS spécifique et Répartir les coûts des instances ECS par groupe de ressources.
Utiliser des tags pour une gestion fine des ressources
-
Présentation de la fonctionnalité
Les tags offrent une flexibilité supérieure aux groupes de ressources pour catégoriser les ressources selon diverses dimensions (région, département, environnement, etc.). Vous pouvez associer plusieurs tags à chaque ressource et contrôler l'accès aux ressources ECS en fonction de ces tags. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'un tag ?
-
Méthode de configuration
Pour savoir comment créer un tag et l'associer à une instance ECS, reportez-vous à la rubrique Tags.
Pour des exemples concrets de catégorisation et de gestion des ressources ECS via des tags, consultez les rubriques Utiliser des tags pour accorder l'accès aux instances ECS par groupe et Utiliser des tags pour permettre aux utilisateurs RAM de gérer uniquement les instances ECS autorisées.
Sécuriser les identités et les permissions
Utiliser des rôles RAM d'instance plutôt que des paires AccessKey
-
Présentation de la fonctionnalité
Généralement, les applications déployées sur des instances ECS accèdent aux API d'autres services Alibaba Cloud via la paire AccessKey d'un compte Alibaba Cloud ou d'un utilisateur RAM. Cette méthode nécessite de configurer la paire AccessKey directement dans l'instance (par exemple, dans un fichier de configuration), ce qui expose à des risques de fuite d'informations, accorde des permissions excessives et complexifie la maintenance. Pour résoudre ces problèmes, Alibaba Cloud propose les rôles RAM d'instance. Leur utilisation garantit la sécurité de vos paires AccessKey et permet une gestion fine des accès et des permissions via RAM.
-
Méthode de configuration
Associez un rôle RAM d'instance à une instance ECS pour obtenir un jeton STS servant d'identifiant d'accès temporaire. Utilisez ensuite cet identifiant temporaire depuis l'instance pour appeler les API des autres services Alibaba Cloud. Les identifiants temporaires sont obtenus exclusivement depuis l'intérieur de l'instance ECS, sans besoin de fournir de paire AccessKey. Cette approche sécurise la paire AccessKey de votre compte Alibaba Cloud et permet une gestion granulaire des accès via RAM. Pour plus d'informations, consultez la rubrique Rôles RAM d'instance.