Resource Access Management:Create an AccessKey pair

Qu'est-ce qu'une paire de clés d'accès (AccessKey) ?

Une paire de clés d'accès se compose d'un AccessKey ID et d'un AccessKey secret, utilisés conjointement pour authentifier les requêtes programmatiques adressées à Alibaba Cloud.

• AccessKey ID : identifiant public unique associé à votre paire de clés d'accès.

• AccessKey secret : clé privée utilisée pour signer les requêtes API. La signature permet de vérifier l'authenticité et l'intégrité de la requête. Vous devez garder votre AccessKey secret strictement confidentiel.

Types de paires de clés d'accès

Les paires de clés d'accès se répartissent en deux catégories selon leur propriétaire :

• Paire de clés d'accès de compte Alibaba Cloud (non recommandé)

  Cette paire de clés d'accès appartient au compte Alibaba Cloud. Par défaut, elle dispose de toutes les autorisations sur l'ensemble des ressources associées au compte. En cas de compromission, le risque pour la sécurité est extrêmement élevé. Nous vous recommandons vivement de ne pas créer ni utiliser de paire de clés d'accès pour votre compte Alibaba Cloud.

• Paire de clés d'accès d'utilisateur RAM (recommandé)

  Cette paire de clés d'accès appartient à un utilisateur RAM, que vous devez créer au préalable. La paire de clés d'accès hérite des autorisations de l'utilisateur RAM, ce qui permet d'appliquer le principe du moindre privilège. En tant que bonne pratique, attribuez un utilisateur RAM et une paire de clés d'accès distincts à chaque application indépendante. Cela évite l'octroi d'autorisations excessives et réduit l'impact potentiel en cas de compromission des identifiants.

Autorisations requises

Un compte Alibaba Cloud dispose d'autorisations illimitées ; évitez donc de l'utiliser pour créer des paires de clés d'accès en production. Privilégiez plutôt un utilisateur RAM disposant des autorisations adéquates pour créer et gérer les paires de clés d'accès (à l'exception de celles appartenant au compte Alibaba Cloud).

• Accordez la stratégie système AliyunRAMFullAccess (administrateur RAM) à un administrateur afin de lui permettre de créer et de gérer les paires de clés d'accès des utilisateurs RAM.

• Activez également l'option Allow users to manage AccessKey dans les paramètres de sécurité globaux de RAM pour autoriser les utilisateurs à gérer leurs propres paires de clés d'accès. Pour plus d'informations, consultez la rubrique Gérer les paramètres de sécurité des utilisateurs RAM.

  Remarque

  L'activation de ce paramètre signifie que tous les utilisateurs RAM peuvent gérer leurs propres paires de clés d'accès, y compris les créer, les désactiver et les supprimer, sauf si un administrateur attache une stratégie interdisant explicitement ces opérations.

  Nous ne recommandons pas d'activer ce paramètre dans un environnement de production. Pour autoriser un utilisateur spécifique à gérer sa propre paire de clés d'accès, nous vous conseillons d'utiliser une stratégie personnalisée et de définir l'élément Resource sur l'identité de l'utilisateur concerné. Consultez les exemples de stratégies ci-dessous :

  Create AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Manage AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Créer une paire de clés d'accès pour un utilisateur RAM

Effectuez les étapes suivantes en tant qu'administrateur RAM (utilisateur disposant de la stratégie AliyunRAMFullAccess). Si votre compte ne contient aucun utilisateur RAM, consultez la rubrique Créer un utilisateur RAM.

Créer une paire de clés d'accès pour un compte Alibaba Cloud (non recommandé)

1. Connectez-vous à la console Alibaba Cloud avec votre compte Alibaba Cloud.

2. Placez le curseur sur votre photo de profil dans le coin supérieur droit, puis cliquez sur AccessKey.

3. Dans la boîte de dialogue We do not recommend that you use the AccessKey of your Alibaba Cloud account, prenez connaissance des risques liés à la création d'une paire de clés d'accès pour votre compte Alibaba Cloud. Si vous devez absolument poursuivre, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.

4. Sur la page AccessKey, cliquez sur Create AccessKey.

   Remarque

   Un compte Alibaba Cloud peut disposer d'au maximum deux paires de clés d'accès. L'une est destinée à une utilisation active, tandis que la seconde sert à la rotation des clés.

5. Dans la boîte de dialogue Create Main Account AccessKey, relisez attentivement les risques et les limitations. Si vous êtes certain de vouloir créer la paire de clés d'accès, cochez la case I am aware of the security risks of using a main account AccessKey., puis cliquez sur Continue to use the AccessKey of my Alibaba Cloud account.

6. Dans la boîte de dialogue Create AccessKey, enregistrez l'AccessKey ID et l'AccessKey secret. Cochez ensuite la case I have saved the AccessKey Secret et cliquez sur OK.

   (Recommandé) Configurer une stratégie ACL réseau pour la paire de clés d'accès : vous pouvez restreindre les adresses IP source des requêtes API utilisant cette paire de clés d'accès. Cette mesure améliore la sécurité en garantissant que la paire de clés d'accès n'est utilisée qu'à partir d'environnements réseau de confiance. Nous vous recommandons de cliquer sur Configure network access policy afin de définir les environnements réseau approuvés pour cette paire de clés d'accès. Pour plus d'informations, consultez la rubrique Configurer une stratégie ACL réseau pour une paire de clés d'accès de compte Alibaba Cloud.

   Important

   Afin de réduire le risque de fuite, l'AccessKey secret d'un compte Alibaba Cloud n'est affiché qu'une seule fois lors de sa création et ne peut pas être récupéré ultérieurement.

Références

• FAQ sur les paires de clés d'accès

• Bonnes pratiques pour l'utilisation des identifiants d'accès aux API Alibaba Cloud

• Gestion des paires de clés d'accès compromises

• Stratégie ACL réseau pour paire de clés d'accès