Izinkan hanya akses HTTPS ke ECS OpenAPI - Elastic Compute Service

Terapkan HTTPS untuk ECS OpenAPI guna melindungi kredensial AccessKey dan data sensitif dari penyadapan serta serangan man-in-the-middle.

Risiko keamanan

HTTP mengirimkan permintaan ECS OpenAPI dalam bentuk teks biasa. Setiap node perantara, seperti router, switch, atau penyedia layanan jaringan, dapat membaca seluruh isinya. Hal ini menimbulkan risiko keamanan berikut:

Pelanggaran kredensial dan data: Permintaan API berisi kredensial identitas (AccessKey), ID instans, dan data disk. Melalui HTTP, informasi ini terekspos dalam teks biasa. Penyerang dapat menyadapnya melalui network sniffing, yang berpotensi mengakibatkan kompromi akun.
Serangan man-in-the-middle (MitM): Penyerang dapat menyadap dan menyamar sebagai Anda maupun server Alibaba Cloud untuk mengubah komunikasi. Misalnya, penyerang dapat mengganti permintaan pembuatan instans Anda dengan instruksi berbahaya untuk menghapus instans bisnis inti atau menyisipkan data palsu ke dalam tanggapan.
Pemalsuan identitas dan penipuan phishing: HTTP tidak dapat memverifikasi keaslian server. Penyerang dapat memalsukan rekaman DNS atau menyiapkan server palsu untuk mengalihkan permintaan API Anda dan mencuri kredensial Anda.

Praktik terbaik

Secara default, SDK mengaktifkan validasi sertifikat SSL/TLS. Jika lingkungan Anda tidak memiliki sertifikat yang diperlukan, akan muncul error validasi.

Untuk memastikan keamanan komunikasi, atur IgnoreSSL = false guna mengaktifkan validasi sertifikat.

Bahasa	V 2.0	V 1.0
Java	Konfigurasi permintaan HTTPS	Konfigurasi permintaan HTTPS
Python	Konfigurasi HTTPS dan pengaturan TLS di SDK	Konfigurasi HTTPS
PHP	Konfigurasi permintaan HTTPS	Konfigurasi permintaan HTTPS
Node.js/TypeScript	Konfigurasi permintaan HTTPS
.NET	Konfigurasi permintaan HTTPS	Konfigurasi permintaan HTTPS
Go	Konfigurasi HTTPS dan pengaturan TLS di SDK	Validasi SSL

Kepatuhan

Blokir permintaan ECS OpenAPI non-HTTPS

Gunakan kebijakan RAM di tingkat organisasi atau akun untuk memblokir permintaan ECS OpenAPI non-HTTPS.

Untuk pengguna perusahaan:
1. Masuk ke Konsol Resource Directory menggunakan Akun Alibaba Cloud Anda. Di panel navigasi sebelah kiri, klik Control Policies. Buat kebijakan kustom dengan konten JSON berikut:
```
{
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "acs:SecureTransport": "true"
        }
      }
    }
  ],
  "Version": "1"
}
```
2. Di Konsol Resource Directory, pilih folder target dan sambungkan kebijakan tersebut. Tindakan ini akan memblokir permintaan non-HTTPS dari akun-akun dalam folder tersebut.
Untuk pengguna non-perusahaan:
1. Masuk ke Konsol RAM menggunakan Akun Alibaba Cloud Anda. Di panel navigasi sebelah kiri, klik Permission Policy dan buat kebijakan kustom dengan konten yang sama.
2. Sambungkan kebijakan tersebut ke RAM user, RAM user group, atau RAM role. Lihat Otorisasi kebijakan.