Resource Access Management:Bonnes pratiques de gestion des identités et des accès

1. Évitez les opérations courantes avec le compte Alibaba Cloud

• Bonne pratique : Le compte Alibaba Cloud s'apparente à l'utilisateur root d'un système Linux. Bien qu'il dispose de toutes les permissions, il ne convient pas à un usage quotidien.

1. Créez un utilisateur RAM doté de permissions d'administrateur, dédié à la gestion quotidienne et aux opérations techniques.

2. N'utilisez votre compte Alibaba Cloud qu'en cas de nécessité absolue, et conservez son mot de passe, son authentification MFA et ses autres identifiants en toute sécurité.

3. Effectuez toutes les opérations quotidiennes avec l'utilisateur administrateur RAM afin d'éviter d'exposer votre compte Alibaba Cloud dans les environnements de production.

• Recommandations :

• Créez des utilisateurs RAM dédiés : Commencez par créer un utilisateur RAM disposant des permissions d'administrateur. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM en tant qu'administrateur. Ensuite, créez un utilisateur RAM indépendant pour chaque membre de votre organisation. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM et accorder des permissions.

• Activez l'authentification MFA pour le compte Alibaba Cloud : Pour renforcer la sécurité du compte Alibaba Cloud, suivez les instructions de la rubrique Configurer l'authentification MFA pour le compte.

2. Mettez en place un mécanisme de connexion plus sécurisé

• Bonne pratique : Pour les identités humaines, la protection des noms d'utilisateur et des mots de passe revêt une importance capitale. L'utilisation de mots de passe complexes, leur rotation régulière et l'activation de l'authentification MFA renforcent considérablement la résistance au piratage des identifiants.

• Guide d'utilisation de RAM :

  • Augmentez la complexité des mots de passe : Utilisez la politique de mot de passe pour définir la longueur minimale et les exigences de complexité des mots de passe des utilisateurs RAM, la durée de validité des mots de passe (par exemple, 90 jours maximum) ainsi que la limite de tentatives de connexion. Cela renforce la sécurité des mots de passe des utilisateurs RAM.

  • Imposez l'authentification MFA aux utilisateurs RAM : L'authentification MFA constitue une seconde ligne de défense au-delà du mot de passe. Même en cas de fuite du mot de passe, l'authentification MFA bloque efficacement les connexions non autorisées. Dans les paramètres de sécurité, vous pouvez activer l'option MFA for RAM user sign-in pour tous les utilisateurs RAM du compte.

3. Implémentez une authentification unique pour les identités humaines (SSO)

• Bonne pratique : Avec l'authentification unique (SSO), l'authentification des identités est déléguée à un fournisseur d'identité (IdP) d'entreprise unifié. Vous n'avez plus besoin de maintenir un système de mots de passe distinct dans le cloud. L'intégration, le départ et les modifications de permissions des employés peuvent être gérés directement depuis l'IdP, permettant ainsi une centralisation de la gestion du cycle de vie des identités.

• Recommandations : Utilisez la fonctionnalité de gestion SSO de RAM pour fédérer votre IdP d'entreprise, tel qu'Active Directory ou Okta, avec le système d'identité d'Alibaba Cloud, en vous appuyant sur le protocole SAML 2.0 ou OpenID Connect (OIDC). Selon votre environnement et vos besoins de connexion, configurez le SSO basé sur l'utilisateur ou le SSO basé sur les rôles.

  Remarque

  Si votre entreprise utilise un annuaire des ressources (RD) pour gérer plusieurs comptes Alibaba Cloud, nous vous recommandons d'utiliser Cloud Single Sign-On (CloudSSO) afin d'assurer une gestion unifiée des identités et des permissions entre les comptes.

1. Privilégiez les identifiants temporaires (jetons STS)

• Bonne pratique : Une fois créée, une AccessKey permanente reste valide jusqu'à sa suppression manuelle. En cas de fuite d'une AccessKey, le risque persiste et menace la sécurité de toutes les ressources du compte. À l'inverse, un jeton du Security Token Service (jeton STS), obtenu en endossant un RAM Role, expire automatiquement à l'issue de la durée de session que vous spécifiez lors de l'endossement du rôle. Cette durée ne peut pas dépasser la durée de session maximale du rôle, exprimée en heures. Même en cas de fuite accidentelle du jeton, la fenêtre d'exploitation potentielle reste minime.

• Recommandations : Utilisez des méthodes sans AccessKey pour obtenir des jetons STS, telles que l'endossement de rôle par une instance ECS, par une instance de conteneur ou par Function Compute. Ces méthodes éliminent la nécessité de gérer des paires AccessKey, évitant ainsi toute exposition de ces identifiants. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour l'obtention de jetons STS.

2. Stockez et utilisez correctement les paires AccessKey inévitables

• Bonne pratique : Dans les scénarios où les jetons STS ne peuvent pas être utilisés, comme lors du développement et du débogage locaux, si vous devez absolument utiliser une AccessKey permanente, évitez d'utiliser l'AccessKey du compte Alibaba Cloud. Assurez-vous que chaque AccessKey est utilisée par une seule application dans un seul environnement, et effectuez sa rotation régulièrement.

• Recommandations :

  • N'utilisez pas l'AccessKey du compte Alibaba Cloud : Dans les scénarios nécessitant l'utilisation d'une AccessKey, remplacez-la par l'AccessKey d'un utilisateur RAM disposant des permissions appropriées. Pour plus d'informations, consultez la rubrique .

  • Ne partagez pas les paires AccessKey : Créez un RAM User indépendant et une AccessKey dédiée pour chaque application et chaque environnement, y compris le développement, les tests et la production. Pour plus d'informations, consultez la rubrique Gérer les paires AccessKey. Protégez votre ID AccessKey et votre secret AccessKey. Ne partagez pas les informations AccessKey avec des tiers et ne les consignez pas dans des documents publics.

  • Effectuez une rotation régulière des paires AccessKey : Lorsqu'un utilisateur RAM dispose de deux paires AccessKey activées, utilisez l'une pour les opérations quotidiennes et réservez l'autre exclusivement à la rotation. Pour plus d'informations, consultez la rubrique Gérer les paires AccessKey.

  • Accordez le moindre privilège : Appliquez la politique de moindre privilège adaptée au scénario à l'RAM User propriétaire de l'AccessKey. Révisez régulièrement les permissions et révoquez les permissions selon les besoins.

  • Ne codez jamais les identifiants en dur dans le code : Gérez l'AccessKey via les bonnes pratiques pour l'obtention de jetons STS ou le KMS Secrets Manager. N'inscrivez jamais l'AccessKey en clair dans les dépôts de code.

  • Restreignez l'accès : Configurez des politiques d'accès réseau pour limiter l'utilisation de l'AccessKey à des adresses IP spécifiques uniquement. Pour plus d'informations, consultez la rubrique Configurer les restrictions d'accès.

  • Désactivez et recyclez rapidement les paires AccessKey inutilisées : Définissez la durée d'inactivité maximale des paires AccessKey à moins de 365 jours. Une valeur de 90 jours est recommandée. Pour plus d'informations, consultez la rubrique Paramètres de sécurité.

  • Surveillez et auditez : Utilisez ActionTrail pour surveiller l'utilisation des AccessKey et détecter rapidement les comportements anormaux.

1. Accordez un accès selon le principe du moindre privilège

• Bonne pratique : N'accordez à une identité que les permissions minimales nécessaires à l'accomplissement de ses tâches prévues. Cela permet de minimiser l'impact potentiel en cas de vol d'identifiants.

• Recommandations :

  • Utilisez une politique personnalisée : Dans les scénarios autres que ceux impliquant un administrateur, évitez les politiques système aux permissions trop larges, telles que AdministratorAccess. Optez pour une politique personnalisée afin d'offrir une autorisation granulaire, en spécifiant explicitement la ressource, l'action (Action/NotAction) et la condition (Condition).

  • Révisez régulièrement les permissions : Révisez périodiquement les permissions et révoquez les permissions selon les besoins.

2. Simplifiez la gestion des permissions avec les groupes d'utilisateurs RAM

• Bonne pratique : Associez les permissions aux responsabilités. Simplifiez les modifications de permissions pour un RAM User individuel en ajustant simplement le RAM Group auquel l'utilisateur est assigné. Cette approche améliore l'efficacité de la gestion et garantit la cohérence des responsabilités.

• Recommandations :

  • Créez des groupes d'utilisateurs RAM : Créez des groupes en fonction des responsabilités professionnelles au sein de votre organisation, tels qu'un groupe d'administrateurs réseau ou un groupe de développeurs d'applications. Pour plus d'informations, consultez la rubrique Créer des groupes d'utilisateurs RAM.

  • Configurez les politiques de permissions : Attachez des politiques de permissions correspondant aux responsabilités professionnelles. Pour plus d'informations, consultez la rubrique Attacher une politique d'accès à un groupe. N'attachez pas les politiques directement à chaque RAM User.

3. Définissez des limites de permissions dans les environnements multi-comptes

• Bonne pratique : Pour les organisations disposant de plusieurs comptes Alibaba Cloud, vous pouvez utiliser les politiques de contrôle basées sur l'Resource Directory afin de restreindre la portée des permissions des identités RAM au sein des comptes membres.

• Recommandations : Dans un environnement multi-comptes avec l'annuaire des ressources activé, lorsqu'une identité RAM User ou RAM Role d'un compte membre tente d'accéder aux services Alibaba Cloud, Alibaba Cloud effectue d'abord une vérification basée sur la politique de contrôle, puis réalise la vérification des permissions RAM au sein du compte. Pour plus d'informations, consultez la rubrique Politiques de contrôle. Avant d'associer les politiques de contrôle, testez-les à petite échelle pour vous assurer qu'elles produisent l'effet escompté, puis associez-les à tous les nœuds cibles, y compris les dossiers et les membres.