Resource Access Management:Sécurisez vos ressources cloud

Évitez d'utiliser l'utilisateur racine d'un compte Alibaba Cloud

Lorsque vous vous inscrivez auprès d'Alibaba Cloud, un compte Alibaba Cloud est créé. Les développeurs individuels peuvent y ajouter une vérification d'identité personnelle. Les comptes entreprise prennent en charge la vérification d'identité, ainsi que les informations de facturation, de contrat et de facture.

Chaque compte Alibaba Cloud dispose d'un utilisateur racine qui se connecte à l'aide du nom d'utilisateur et du mot de passe du compte. L'utilisation de l'utilisateur racine présente les risques suivants :

• Exposition totale des permissions : l'utilisateur racine détient toutes les permissions du compte. La divulgation du nom d'utilisateur et du mot de passe expose l'ensemble de vos ressources.

• Risque de fuite du mot de passe : si plusieurs employés partagent l'utilisateur racine, chacun connaît les identifiants du compte, ce qui augmente la probabilité d'une fuite.

• Absence de piste d'audit : si plusieurs employés partagent l'utilisateur racine, il est impossible d'identifier les opérateurs individuels dans les journaux.

La création d'une paire AccessKey pour l'utilisateur racine introduit des risques supplémentaires :

• Exposition totale des permissions : la paire AccessKey de l'utilisateur racine détient toutes les permissions du compte. Une fuite expose l'ensemble des ressources.

• Dilemme opérationnel en cas de fuite : une paire AccessKey est un identifiant permanent. Si la paire AccessKey de l'utilisateur racine est utilisée pour des charges de travail en production et qu'elle est divulguée, sa désactivation interrompt ces charges de travail. La laisser active signifie que des permissions illimitées restent exposées.

Pour sécuriser votre compte Alibaba Cloud :

• Conservez les identifiants du compte exclusivement auprès de l'administrateur. Ne les partagez pas entre plusieurs employés.

• **Associez un dispositif de clé de sécurité Universal 2nd Factor (U2F) à l'utilisateur racine pour ajouter une couche de protection supplémentaire au-delà du mot de passe du compte.

• Connectez-vous avec les identifiants du compte Alibaba Cloud uniquement lorsque cela est nécessaire.

• Évitez d'utiliser la paire AccessKey d'un compte Alibaba Cloud.

Utilisez des identités RAM pour accéder à Alibaba Cloud

Attribuez des identités RAM aux employés et aux programmes qui doivent accéder aux ressources Alibaba Cloud. Créez des utilisateurs RAM et attachez-leur des politiques pour appliquer un contrôle d'accès granulaire sans utiliser votre compte Alibaba Cloud pour les opérations quotidiennes. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.

• Accès depuis les employés : le SSO est recommandé. Si le SSO n'est pas disponible, associez un dispositif MFA lors de l'activation de la connexion par mot de passe à la console. Ne partagez pas un utilisateur RAM entre plusieurs employés : le partage des identifiants augmente les risques de fuite, empêche l'identification lors des audits et complique la gestion.

• Accès depuis les programmes : les jetons STS (identifiants temporaires) sont recommandés pour les programmes déployés sur Alibaba Cloud afin de réduire les risques de fuite d'identifiants. Pour plus d'informations, consultez la rubrique Meilleures pratiques pour l'accès aux API OpenAPI d'Alibaba Cloud. Si les programmes ne sont pas déployés sur Alibaba Cloud ou si des paires AccessKey sont nécessaires pour le développement et le débogage, créez des paires AccessKey pour les utilisateurs RAM. Pour plus d'informations, consultez la rubrique Créer une AccessKey pour un utilisateur RAM. Chaque utilisateur RAM prend en charge jusqu'à deux paires AccessKey : une pour les activités métier et une pour la rotation. Pour plus d'informations, consultez la rubrique Effectuer la rotation d'une AccessKey pour un utilisateur RAM.

Utilisez le SSO

Le SSO est recommandé pour l'accès des employés. Une fois le SSO activé, tous les comptes internes sont authentifiés via votre système d'identité d'entreprise, et les utilisateurs RAM accèdent à Alibaba Cloud en utilisant leurs comptes internes. Aucun mot de passe ne doit être défini pour les utilisateurs RAM dans Alibaba Cloud, ce qui réduit les risques de fuite. Pour plus d'informations, consultez la rubrique Présentation du SSO.

Configurez une politique de mot de passe pour les utilisateurs RAM

Si le SSO n'est pas disponible, créez des utilisateurs RAM pour permettre aux employés de se connecter avec un mot de passe. Configurez une politique de mot de passe dans la console RAM pour spécifier la longueur du mot de passe, les types de caractères requis et la période de validité. Pour plus d'informations, consultez la rubrique Configurer une politique de mot de passe pour les utilisateurs RAM. Si un utilisateur RAM est autorisé à modifier son mot de passe, il doit créer un mot de passe robuste et le renouveler régulièrement.

Activez l'authentification MFA pour les utilisateurs RAM

Activez l'authentification MFA pour les utilisateurs RAM afin d'ajouter une couche de protection supplémentaire au-delà des noms d'utilisateur et des mots de passe.

Une fois l'authentification MFA activée et un dispositif MFA associé, un utilisateur RAM doit fournir deux facteurs d'authentification lorsqu'il se connecte à Alibaba Cloud ou effectue des opérations sensibles sur la console :

1. Premier facteur : saisissez le nom d'utilisateur et le mot de passe.

2. Deuxième facteur : saisissez le code de vérification généré par un dispositif MFA virtuel ou envoyé à une adresse e-mail de sécurité, ou effectuez une authentification par passkey.

À partir du 17 mars 2025, l'authentification MFA lors de la connexion est activée par défaut pour tous les utilisateurs RAM. Nous vous recommandons de conserver ce paramètre par défaut afin de réduire les risques de fuite de mot de passe. Si vous ne souhaitez pas que tous les utilisateurs RAM effectuent une authentification MFA à chaque connexion à la console, définissez le paramètre « MFA for RAM user sign-in » sur « Only when sign-in abnormally ». Les utilisateurs RAM doivent toujours associer des dispositifs MFA, mais l'authentification MFA n'est requise que lorsqu'Alibaba Cloud détecte des anomalies, ce qui réduit la fréquence des authentifications. Pour plus d'informations, consultez la rubrique Associer un dispositif MFA à un utilisateur RAM.

Utilisez une passkey pour la connexion

Les passkeys constituent une méthode d'authentification sécurisée pouvant remplacer les mots de passe. Les utilisateurs RAM peuvent utiliser des passkeys pour la connexion et l'authentification MFA. Pour plus d'informations, consultez la rubrique Qu'est-ce qu'une passkey ?. Les passkeys s'appuient sur l'authentification intégrée de l'appareil (empreinte digitale, reconnaissance faciale ou code PIN) pour la connexion ou l'authentification MFA. Pour plus d'informations, consultez la rubrique Gérer les passkeys pour les utilisateurs RAM.

• La connexion par passkey ne nécessite pas d'authentification MFA.

• Associez un dispositif MFA comme solution de secours pour la connexion par mot de passe lorsque la passkey n'est pas disponible.

Regroupez les utilisateurs RAM

Si votre compte comporte plusieurs utilisateurs RAM, regroupez-les par responsabilité et accordez les autorisations au niveau du groupe. Pour plus d'informations, consultez les rubriques Présentation, Créer un groupe d'utilisateurs RAM et Accorder des autorisations à un groupe d'utilisateurs RAM.

Limitez les adresses IP source utilisées pour la connexion à la console

Configurez des politiques de contrôle d'accès réseau pour autoriser uniquement les adresses IP ou les blocs CIDR spécifiés à se connecter à la console Alibaba Cloud, restreignant ainsi l'accès aux environnements réseau de confiance. Pour plus d'informations, consultez la rubrique Paramètres de contrôle d'accès réseau.

Utilisez des identifiants temporaires pour l'accès depuis les programmes

Une paire AccessKey (AccessKey ID + AccessKey secret) est un identifiant permanent pour les comptes Alibaba Cloud et les utilisateurs RAM. Une utilisation inappropriée expose au risque de fuite d'identifiants ; par exemple, si les développeurs intègrent en dur des paires AccessKey en texte clair et poussent le code vers un dépôt public tel que GitHub.

Au lieu d'utiliser des paires AccessKey permanentes, assumez un rôle RAM pour obtenir un jeton STS temporaire. Les jetons STS expirent automatiquement après la durée de session maximale du rôle RAM, réduisant considérablement les risques de fuite d'identifiants.

Pour les programmes déployés sur Alibaba Cloud, utilisez des jetons STS plutôt que des paires AccessKey. Pour plus d'informations, consultez la rubrique Meilleures pratiques pour l'accès aux API OpenAPI d'Alibaba Cloud.

Évitez d'intégrer en dur des paires AccessKey en texte clair

Si les développeurs intègrent en dur des paires AccessKey en texte clair dans le code et le poussent vers un dépôt tel que GitHub ou le partagent, les identifiants sont divulgués.

Si une paire AccessKey est nécessaire, utilisez l'outil Alibaba Cloud Credentials, Key Management Service (KMS) ou les variables d'environnement du système pour la gérer. Pour plus d'informations, consultez la rubrique Gérer et utiliser les secrets RAM. Si une paire AccessKey est divulguée, remplacez-la dès que possible. Pour plus d'informations, consultez la rubrique Meilleures pratiques pour l'accès aux API OpenAPI d'Alibaba Cloud.

Supprimez les utilisateurs RAM et les paires AccessKey qui ne sont plus nécessaires

Si les utilisateurs RAM et les paires AccessKey des employés démissionnaires ou des anciens partenaires ne sont pas supprimés, ils peuvent toujours accéder aux ressources cloud de l'entreprise, et les vols d'identifiants peuvent passer inaperçus.

À partir de septembre 2024, Alibaba Cloud met progressivement en œuvre la désactivation automatique des utilisateurs RAM et des paires AccessKey inactifs. Cette fonctionnalité désactive quotidiennement les paires AccessKey éligibles. Un utilisateur RAM est considéré comme inactif s'il ne s'est pas connecté depuis deux ans. Une paire AccessKey est considérée comme inactive si elle n'a pas été utilisée depuis deux ans.

Limitez les adresses IP source utilisées pour les appels d'API basés sur les paires AccessKey

Configurez des politiques de contrôle d'accès réseau basées sur les paires AccessKey pour autoriser uniquement les adresses IP spécifiées à appeler les opérations d'API, restreignant ainsi les appels d'API aux environnements réseau de confiance. Pour plus d'informations, consultez la rubrique Politique ACL réseau AccessKey.

• Si une paire AccessKey est ou pourrait être divulguée, configurez une politique de contrôle d'accès réseau pour autoriser les appels d'API uniquement depuis des réseaux de confiance et bloquer les appels externes suspects.

• Auditez les conditions réseau pour chaque compte et configurez des politiques de contrôle d'accès réseau au niveau du compte ou de la paire AccessKey pour prévenir les appels externes suspects.