Configurez une politique de mot de passe unifiée pour tous les utilisateurs RAM de votre compte Alibaba Cloud afin de renforcer la sécurité de connexion et de répondre aux exigences de conformité de l'entreprise. Cette politique couvre la longueur du mot de passe, sa période de validité, la vérification de l'historique, etc.
Une politique de mot de passe est un paramètre global au niveau du compte. Une fois modifiée, elle s'applique à tous les utilisateurs RAM du compte Alibaba Cloud actuel. RAM ne prend pas en charge l'application de politiques de mot de passe différentes selon les groupes d'utilisateurs ou les utilisateurs individuels.
Notes d'utilisation
Avant de configurer une politique de mot de passe, tenez compte des points suivants :
Portée de la politique : La politique de mot de passe s'applique uniquement aux utilisateurs RAM qui se connectent à la console avec un nom d'utilisateur et un mot de passe. Elle n'affecte pas l'accès programmatique utilisant un AccessKey.
Prise d'effet des modifications : Après avoir modifié la politique de mot de passe (par exemple, en augmentant la longueur requise ou en définissant une période d'expiration), les utilisateurs existants ne sont pas immédiatement contraints de changer leur mot de passe. La nouvelle politique s'applique la prochaine fois qu'un utilisateur change son mot de passe, soit lorsqu'il y est invité lors de la connexion, soit en le réinitialisant manuellement.
-
Scénarios de connexion spécifiques :
Intégration SSO : Si votre entreprise utilise un fournisseur d'identité (IdP) pour l'intégration SSO avec Alibaba Cloud, vous n'avez pas besoin de définir de mots de passe de connexion pour les utilisateurs RAM. Si vous définissez des mots de passe pour ces utilisateurs RAM, ils doivent être conformes à cette politique et peuvent être utilisés pour la connexion si le SSO est désactivé.
Alibaba Cloud ne stocke pas vos mots de passe en texte clair. À la place, il stocke une valeur de hachage salée générée par chiffrement à sens unique. Cette valeur ne peut pas être inversée pour révéler le mot de passe d'origine, garantissant ainsi la sécurité de vos mots de passe.
Procédure
En tant que compte racine ou utilisateur RAM disposant des autorisations d'administrateur RAM (AliyunRAMFullAccess), configurez ou modifiez une politique de mot de passe unifiée pour tous les utilisateurs RAM.
Console
Connectez-vous à la console RAM.
Sur la page Settings, dans la section Password Policy, cliquez sur Modify pour configurer les règles de mot de passe.
Cliquez sur OK.
API
Appelez GetPasswordPolicy pour afficher la politique de mot de passe actuelle.
Appelez SetPasswordPolicy pour modifier la politique de mot de passe.
Paramètres de la politique de mot de passe
|
Parameter |
Description |
Default |
Recommendation |
|
Length |
Un mot de passe doit comporter entre 8 et 32 caractères. La longueur minimale est configurable. Valeurs valides : 8 à 32. Valeur par défaut : 8. La longueur maximale est fixée à 32 caractères et ne peut pas être configurée. |
8 |
|
|
Charset |
Les types de caractères qu'un mot de passe doit contenir. Vous pouvez exiger un ou plusieurs des éléments suivants : lettres majuscules, lettres minuscules, chiffres et caractères spéciaux. |
Disabled |
Nous vous recommandons de sélectionner au moins trois types de caractères. |
|
Different Characters |
Le nombre minimum de caractères uniques requis dans un mot de passe. Valeur maximale : 8. Par exemple, si vous définissez cette valeur sur 3, un mot de passe comme |
Disabled |
Définissez cette valeur sur 4 ou plus pour éviter les mots de passe faibles construits à partir de caractères répétés. |
|
Do Not Contain Username |
Interdit à un mot de passe de contenir le nom d'utilisateur. |
Disabled |
Nous vous recommandons d'activer ce paramètre. |
|
Disable Logon after Password Expiration |
Contrôle si un utilisateur dont le mot de passe a expiré peut se connecter à la console pour le modifier. Si activé, l'utilisateur est bloqué et doit contacter un administrateur pour réinitialiser son mot de passe. |
Disabled |
La définition d'une Password Max Age ou d'une Initial Password Max Age peut entraîner l'expiration immédiate de certains mots de passe. Pour éviter les interruptions de connexion, nous vous recommandons de ne pas activer ce paramètre lors de l'ajustement de ces périodes de validité. |
|
Password Max Age |
Le nombre de jours pendant lesquels un mot de passe reste valide avant d'expirer. Maximum : 1095 jours. Remarque
La réinitialisation d'un mot de passe redémarre sa période de validité. |
Disabled |
Nous recommandons une période de 90 jours ou moins. |
|
Initial Password Max Age |
Le nombre de jours pendant lesquels un mot de passe initial est valide. Si un utilisateur ne se connecte pas pour la première fois dans ce délai, le mot de passe expire. Vous pouvez définir une période de 0 à 90 jours. Une valeur de 0 désactive cette politique. |
14 days |
Nous vous recommandons de conserver la valeur par défaut de 14 jours. La période de validité du mot de passe initial ne doit pas dépasser la période de validité du mot de passe. |
|
Do Not Repeat History |
Interdit à un utilisateur de réutiliser les N derniers mots de passe. La valeur maximale de N est 24. |
Disabled |
|
|
Max Attempts |
Le nombre de tentatives de connexion échouées consécutives en une heure qui verrouille un compte pendant une heure. La durée de verrouillage d'une heure est une valeur par défaut système fixe et ne peut pas être modifiée. Maximum : 32. Remarque
La réinitialisation d'un mot de passe efface le compteur de tentatives de connexion échouées. Ce paramètre s'applique uniquement aux utilisateurs RAM. Les comptes Alibaba Cloud n'ont aucune limite sur le nombre de tentatives de réessai de mot de passe, et les tentatives de connexion échouées consécutives ne verrouillent pas un compte Alibaba Cloud. |
Disabled |
Nous recommandons un maximum de 5 tentatives. |
|
Intercept Risk Password From API |
Lorsqu'il est activé, le système évalue les mots de passe définis via le paramètre |
Disabled |
Avant d'activer ce paramètre, examinez vos scripts et programmes d'automatisation existants pour vous assurer que les mots de passe qu'ils définissent peuvent passer l'évaluation des risques. Après l'activation de cette fonctionnalité, les appels API tentant de définir un mot de passe faible échoueront, ce qui peut perturber les workflows de création d'utilisateurs ou de réinitialisation de mot de passe. |
Si le compte d'un utilisateur RAM est verrouillé en raison d'un trop grand nombre de tentatives de connexion échouées consécutives, déverrouillez le compte en utilisant l'une des méthodes suivantes :
Attendre l'expiration du verrouillage : Le compte est automatiquement déverrouillé après une heure. L'utilisateur peut alors se reconnecter avec le mot de passe correct.
Réinitialiser le mot de passe de l'utilisateur : Pendant la période de verrouillage, le propriétaire du compte Alibaba Cloud ou un administrateur RAM peut réinitialiser le mot de passe de connexion de l'utilisateur RAM. La réinitialisation du mot de passe déverrouille immédiatement le compte. Pour plus d'informations, consultez Modifier le mot de passe de connexion d'un utilisateur RAM.