Resource Access Management：Buat Pasangan AccessKey

Apa Itu Pasangan AccessKey

Pasangan AccessKey adalah kredensial akses jangka panjang yang disediakan Alibaba Cloud kepada pengguna. Pasangan ini terdiri dari ID AccessKey dan Rahasia AccessKey.

• AccessKey ID: Pengidentifikasi publik unik untuk pasangan AccessKey.

• AccessKey secret: Bagian rahasia dari pasangan AccessKey yang digunakan untuk menandatangani permintaan API guna memverifikasi keaslian dan integritas permintaan tersebut. Anda harus menjaga kerahasiaan AccessKey secret Anda secara ketat.

Kategori Pasangan AccessKey

Pasangan AccessKey dapat dimiliki oleh Akun Alibaba Cloud atau Pengguna RAM. Pasangan AccessKey dikategorikan berdasarkan pemiliknya:

• Pasangan AccessKey Akun Alibaba Cloud (Tidak disarankan)

  Jenis pasangan AccessKey ini dibuat langsung oleh Akun Alibaba Cloud. Secara default, pasangan ini memiliki izin penuh atas semua resource di bawah akun tersebut dan dapat melakukan operasi apa pun. Kebocoran pasangan AccessKey root menimbulkan risiko keamanan yang sangat tinggi. Kami sangat menyarankan agar Anda tidak membuat atau menggunakan pasangan AccessKey untuk Akun Alibaba Cloud Anda.

• Pasangan AccessKey Pengguna RAM (Disarankan)

  Ini adalah kredensial akses programatik untuk Pengguna RAM. Anda harus membuat Pengguna RAM terlebih dahulu sebelum dapat membuat pasangan AccessKey untuk pengguna tersebut. Pasangan AccessKey Pengguna RAM mewarisi izin pengguna tersebut, sehingga memungkinkan manajemen akses berbasis prinsip least privilege. Kami menyarankan agar Anda menetapkan Pengguna RAM dan pasangan AccessKey terpisah untuk setiap aplikasi bisnis independen. Praktik ini mencegah pemberian izin berlebihan atau peningkatan risiko kebocoran akibat berbagi kredensial.

Persyaratan Izin

Akun Alibaba Cloud memiliki izin yang berlebihan. Oleh karena itu, Anda sebaiknya menghindari penggunaannya untuk membuat pasangan AccessKey di lingkungan produksi. Sebagai gantinya, gunakan Pengguna RAM yang diberikan izin yang diperlukan untuk membuat dan mengelola pasangan AccessKey, kecuali pasangan AccessKey milik Akun Alibaba Cloud.

• Anda dapat menyambungkan kebijakan sistem AliyunRAMFullAccess (administrator RAM) ke administrator agar mereka dapat membuat dan mengelola pasangan AccessKey untuk Pengguna RAM.

• Anda juga dapat mengizinkan pengguna mengelola pasangan AccessKey mereka sendiri dengan mengaktifkan opsi Allow users to manage their own AccessKeys di pengaturan keamanan global RAM. Untuk informasi selengkapnya, lihat Kelola pengaturan keamanan untuk Pengguna RAM.

  Catatan

  Mengaktifkan pengaturan ini memungkinkan semua Pengguna RAM mengelola pasangan AccessKey mereka sendiri. Ini mencakup semua operasi terkait, seperti membuat, menonaktifkan, dan menghapus pasangan AccessKey, kecuali jika administrator menyambungkan kebijakan yang secara eksplisit melarang operasi tersebut.

  Kami tidak menyarankan mengaktifkan pengaturan ini di lingkungan produksi. Untuk mengizinkan pengguna tertentu mengelola pasangan AccessKey mereka sendiri, kami menyarankan Anda menggunakan kebijakan kustom dan membatasi Resource hanya untuk pengguna tersebut. Kebijakan contoh berikut disediakan sebagai referensi:

  Izinkan pengguna membuat pasangan AccessKey mereka sendiri

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Izinkan pengguna mengelola pasangan AccessKey mereka sendiri

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Buat Pasangan AccessKey untuk Pengguna RAM

Administrator RAM (AliyunRAMFullAccess) dapat melakukan operasi berikut. Jika Anda belum memiliki Pengguna RAM di bawah akun Anda, lihat Buat Pengguna RAM.

Buat Pasangan AccessKey untuk Akun Alibaba Cloud (Tidak Disarankan)

1. Login ke Alibaba Cloud Management Console menggunakan Akun Alibaba Cloud Anda.

2. Arahkan kursor ke foto profil Anda di pojok kanan atas, lalu klik AccessKey Management.

   

3. Di kotak dialog Using the AccessKey of an Alibaba Cloud account is not recommended, tinjau risiko membuat pasangan AccessKey untuk Akun Alibaba Cloud Anda. Untuk melanjutkan, centang I understand the security risks of using the AccessKey of an Alibaba Cloud account, lalu klik Continue to use the AccessKey of an Alibaba Cloud account.

   

4. Di halaman AccessKey Management, klik Create AccessKey.

   

   Catatan

   Akun Alibaba Cloud dapat memiliki maksimal dua pasangan AccessKey. Satu digunakan secara rutin, dan satu lagi dibuat untuk rotasi guna menggantikan yang lama.

5. Di kotak dialog Create AccessKey for Alibaba Cloud Account, tinjau kembali risiko keamanan dan batasan. Untuk membuat pasangan AccessKey, centang I understand the security risks of using the AccessKey of an Alibaba Cloud account, lalu klik Continue to use the AccessKey of an Alibaba Cloud account.

   

6. Di kotak dialog Create AccessKey, simpan ID AccessKey dan Rahasia AccessKey, centang I have saved the AccessKey Secret, lalu klik OK.

   Konfigurasikan kebijakan pembatasan akses jaringan untuk pasangan AccessKey (Disarankan): Anda dapat membatasi alamat IP sumber untuk permintaan API yang menggunakan pasangan AccessKey ini. Hal ini membatasi akses ke pasangan AccessKey hanya dari lingkungan jaringan tepercaya dan meningkatkan keamanan. Kami menyarankan Anda mengidentifikasi lingkungan jaringan tempat pasangan AccessKey digunakan, lalu klik Configure Network Access Policy. Untuk informasi selengkapnya, lihat Konfigurasikan kebijakan pembatasan akses jaringan tingkat AccessKey untuk Akun Alibaba Cloud.

   

   Penting

   Untuk mengurangi risiko kebocoran, Rahasia AccessKey Akun Alibaba Cloud hanya ditampilkan saat Anda membuatnya. Anda tidak dapat mengambilnya kembali di kemudian hari. Pastikan untuk menyimpannya dengan aman.