Untuk mengamankan Akun Alibaba Cloud dan sumber daya cloud Anda, jangan gunakan Akun Alibaba Cloud untuk mengakses Cloud Shell kecuali benar-benar diperlukan. Sebagai gantinya, gunakan identitas Resource Access Management (RAM), seperti RAM user dan RAM role.
Pengguna RAM
RAM user dapat dibuat menggunakan Akun Alibaba Cloud atau oleh RAM user dan RAM role yang memiliki hak administratif. Setelah diberikan izin yang diperlukan, RAM user tersebut dapat mengakses sumber daya Alibaba Cloud dalam akun tempatnya berada melalui Alibaba Cloud Management Console atau dengan memanggil operasi API.
Kami menyarankan hal-hal berikut:
Gunakan Akun Alibaba Cloud Anda untuk membuat RAM user dan berikan hak administratif kepadanya. Selanjutnya, gunakan RAM user tersebut untuk membuat dan mengelola RAM user lainnya.
Pisahkan pengguna RAM individu dari pengguna RAM program.
Saat membuat RAM user, Anda dapat memilih Console Access, Using permanent AccessKey to access, atau keduanya untuk parameter Access Mode.
RAM user yang ditujukan untuk akses konsol masuk ke Alibaba Cloud Management Console menggunakan nama pengguna dan kata sandi, sedangkan RAM user yang ditujukan untuk akses berbasis Pasangan Kunci Akses (AccessKey pair) melakukan panggilan API. Untuk mencegah dampak dari operasi yang tidak disengaja, pisahkan RAM user untuk individu dan program. Kami juga menyarankan mengaktifkan multi-factor authentication (MFA) untuk RAM user yang digunakan untuk akses konsol.
Berikan izin kepada RAM user berdasarkan prinsip least privilege (hak istimewa minimal).
Izin dengan hak istimewa minimal merujuk pada izin minimum yang diperlukan untuk menjalankan suatu operasi. Penerapan prinsip ini meningkatkan keamanan data dan mencegah penyalahgunaan izin.
Jangan menyematkan ID AccessKey atau Rahasia AccessKey dalam kode untuk mencegah kebocoran Pasangan Kunci Akses (AccessKey pair). Kebocoran AccessKey pair menimbulkan risiko keamanan terhadap seluruh sumber daya dalam akun Anda. Sebagai gantinya, gunakan token Security Token Service (STS) atau konfigurasikan variabel lingkungan untuk memperoleh izin akses.
Jika memungkinkan, aktifkan single sign-on (SSO) untuk RAM user agar mereka dapat masuk dan mengakses sumber daya Alibaba Cloud dari sistem manajemen identitas perusahaan mereka.
Operasi terkait
Grup pengguna RAM
Jika Anda membuat beberapa RAM user menggunakan Akun Alibaba Cloud, kelompokkan RAM user tersebut untuk mempermudah pengelolaan izin. Misalnya, Anda dapat memberikan izin yang sama kepada semua anggota satu RAM user group. Kami menyarankan hal-hal berikut:
Berikan izin kepada RAM user group berdasarkan prinsip least privilege.
Hapus RAM user dari RAM user group jika tugas kerjanya berubah.
Cabut izin dari RAM user group jika grup tersebut tidak lagi memerlukannya.
Operasi terkait
Peran RAM
RAM role adalah jenis identitas RAM yang memiliki kebijakan yang dilampirkan. Berbeda dengan RAM user, role tidak terikat pada individu atau aplikasi tertentu—setiap principal tepercaya dapat mengasumsikan role tersebut. Role tidak memiliki kredensial jangka panjang seperti kata sandi atau Pasangan Kunci Akses (AccessKey pair). Saat sebuah principal mengasumsikan role, Security Token Service (STS) menghasilkan kredensial keamanan sementara yang hanya berlaku selama sesi tersebut.
Kami menyarankan hal-hal berikut:
Jangan sering mengubah entitas tepercaya dari RAM role setelah dibuat. Perubahan entitas tepercaya dapat menyebabkan kehilangan izin yang berdampak pada bisnis Anda, atau menimbulkan risiko keamanan akibat peningkatan hak istimewa. Pastikan perubahan tersebut telah diuji secara menyeluruh sebelum diterapkan.
Setelah entitas tepercaya diberikan izin, entitas tersebut dapat memanggil operasi AssumeRole untuk memperoleh token STS, yang kemudian digunakan untuk mengasumsikan RAM role. Untuk informasi lebih lanjut, lihat AssumeRole. Token STS hanya berlaku dalam periode waktu tertentu. Kami menyarankan mengatur periode validitas ke nilai yang sesuai untuk mengurangi risiko keamanan.
CatatanPeriode validitas maksimum token STS adalah durasi sesi maksimum yang ditentukan untuk RAM role tersebut. Kami menyarankan mengatur durasi sesi maksimum untuk RAM role ke nilai yang sesuai guna mengurangi risiko keamanan.
Jika memungkinkan, aktifkan SSO untuk RAM role agar role tersebut dapat masuk dan mengakses sumber daya Alibaba Cloud dari sistem manajemen identitas perusahaan mereka.