Resource Access Management:Create an AccessKey pair

Qu'est-ce qu'une paire de clés d'accès ?

Une paire de clés d'accès se compose d'un AccessKey ID et d'un AccessKey Secret, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.

• AccessKey ID : l'identifiant public et unique de votre paire de clés d'accès.

• AccessKey Secret : la clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Vous devez impérativement garder votre AccessKey Secret confidentiel.

Types de paires de clés d'accès

Les paires de clés d'accès se répartissent en deux catégories selon leur propriétaire :

• Paire de clés d'accès de compte Alibaba Cloud (non recommandé)

  Cette paire de clés d'accès appartient au compte Alibaba Cloud. Par défaut, elle dispose de toutes les autorisations sur l'ensemble des ressources du compte. En cas de compromission, le risque pour la sécurité est extrêmement élevé. Nous vous recommandons vivement de ne pas créer ni utiliser de paire de clés d'accès pour votre compte Alibaba Cloud.

• Paire de clés d'accès d'utilisateur RAM (recommandé)

  Cette paire de clés d'accès appartient à un utilisateur RAM, que vous devez créer au préalable. La paire de clés d'accès hérite des autorisations de l'utilisateur RAM, ce qui permet de gérer les accès selon le principe du moindre privilège. En tant que bonne pratique, attribuez un utilisateur RAM et une paire de clés d'accès distincts à chaque application indépendante. Cela évite l'octroi d'autorisations excessives et réduit l'impact potentiel en cas de compromission des identifiants.

Autorisations requises

Un compte Alibaba Cloud dispose d'autorisations illimitées ; évitez donc de l'utiliser pour créer des paires de clés d'accès en production. Privilégiez plutôt un utilisateur RAM doté des autorisations appropriées pour créer et gérer les paires de clés d'accès (à l'exception de celles appartenant au compte Alibaba Cloud lui-même).

• Accordez la stratégie système AliyunRAMFullAccess (administrateur RAM) à un administrateur afin de lui permettre de créer et de gérer les paires de clés d'accès des utilisateurs RAM.

• Activez également l'option Allow users to manage AccessKey dans les paramètres de sécurité globaux de RAM pour autoriser les utilisateurs à gérer leurs propres paires de clés d'accès. Pour plus d'informations, consultez Gérer les paramètres de sécurité des utilisateurs RAM.

  Remarque

  L'activation de ce paramètre signifie que tous les utilisateurs RAM peuvent gérer leurs propres paires de clés d'accès, y compris les créer, les désactiver et les supprimer, sauf si un administrateur attache une stratégie interdisant explicitement ces opérations.

  Nous ne recommandons pas d'activer ce paramètre dans un environnement de production. Pour permettre à un utilisateur spécifique de gérer sa propre paire de clés d'accès, nous vous conseillons d'utiliser une stratégie personnalisée et de définir l'élément Resource sur l'identité de l'utilisateur concerné. Consultez les exemples de stratégies ci-dessous :

  Create AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Manage AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Créer une paire de clés d'accès pour un utilisateur RAM

Suivez les étapes ci-dessous en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si aucun utilisateur RAM n'existe dans votre compte, consultez Créer un utilisateur RAM.

Créer une paire de clés d'accès pour un compte Alibaba Cloud (non recommandé)

1. Connectez-vous à la console Alibaba Cloud avec votre compte Alibaba Cloud.

2. Survolez votre photo de profil située en haut à droite et cliquez sur AccessKey.

3. Dans la boîte de dialogue We do not recommend that you use the AccessKey of your Alibaba Cloud account, prenez connaissance des risques liés à la création d'une paire de clés d'accès pour votre compte Alibaba Cloud. Si vous devez absolument continuer, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.

4. Sur la page AccessKey, cliquez sur Create AccessKey.

   Remarque

   Un compte Alibaba Cloud peut posséder au maximum deux paires de clés d'accès. L'une sert à une utilisation active et la seconde à la rotation des clés.

5. Dans la boîte de dialogue Create Main Account AccessKey, relisez attentivement les risques et les limitations. Si vous êtes certain de vouloir créer la paire de clés d'accès, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.

6. Dans la boîte de dialogue Create AccessKey, sauvegardez l'AccessKey ID et l'AccessKey Secret. Cochez ensuite la case I have saved the AccessKey Secret et cliquez sur OK.

   (Recommandé) Configurer une politique de liste de contrôle d'accès réseau pour la paire de clés d'accès : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés d'accès. Cette mesure améliore la sécurité en garantissant que la paire de clés d'accès n'est utilisée que depuis des environnements réseau de confiance. Nous vous recommandons de cliquer sur Configure network access policy afin de définir les environnements réseau de confiance pour cette paire de clés d'accès. Pour plus d'informations, consultez Configurer une politique de liste de contrôle d'accès réseau pour une paire de clés d'accès de compte Alibaba Cloud.

   Important

   Afin de réduire les risques de fuite, l'AccessKey Secret d'un compte Alibaba Cloud n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré par la suite.

Références

• FAQ sur les paires de clés d'accès

• Bonnes pratiques pour l'utilisation des identifiants d'accès aux API d'Alibaba Cloud

• Gestion des paires de clés d'accès compromises

• Politique de liste de contrôle d'accès réseau pour paire de clés d'accès