Elastic Compute Service：Lindungi akun Alibaba Cloud dan cegah kebocoran kredensial

Lindungi kata sandi akun dan aktifkan Autentikasi Multi-Faktor (MFA)

• Tetapkan kata sandi yang kompleks: Kata sandi lemah merupakan penyebab utama peretasan akun. Untuk mencegah kata sandi ditebak atau dipecahkan melalui serangan brute-force, hindari penggunaan kata sandi lemah.

• Ubah kata sandi secara berkala: Ubah kata sandi Anda setiap 90 hari untuk mengurangi risiko kebocoran akibat penggunaan jangka panjang.

• Aktifkan MFA: Sambungkan atau lepas perangkat MFA virtual untuk akun Alibaba Cloud Anda. MFA menambahkan kode verifikasi dinamis, seperti token seluler atau kunci yang dilindungi perangkat keras, sebagai lapisan keamanan tambahan di atas autentikasi kata sandi. Hal ini membantu mencegah akses tidak sah jika kata sandi Anda bocor.

Gunakan peran RAM ECS alih-alih AccessKey

Jika aplikasi yang diterapkan pada instance ECS perlu memanggil API Layanan Alibaba Cloud—misalnya untuk penskalaan ECS—gunakan peran RAM alih-alih AccessKey.

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_tea_openapi.models import Config
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526 import models as ecs_models
from alibabacloud_tea_util.models import RuntimeOptions

# Langkah 1: Peroleh token STS
def get_sts_token():
    config = CredConfig(
        type="ecs_ram_role",
        enable_imds_v1=False
    )
    cred_client = CredClient(config)
    credential = cred_client.get_credential()
    return {
        "AccessKeyId": credential.get_access_key_id(),
        "AccessKeySecret": credential.get_access_key_secret(),
        "SecurityToken": credential.get_security_token()
    }

# Langkah 2: Inisialisasi klien ECS
def create_ecs_client(sts_token):
    config = Config(
        access_key_id=sts_token["AccessKeyId"],
        access_key_secret=sts_token["AccessKeySecret"],
        security_token=sts_token["SecurityToken"],
        endpoint="ecs.cn-hangzhou.aliyuncs.com"
    )
    return EcsClient(config)

# Langkah 3: Buat permintaan untuk membuat instance
def build_create_instance_request():
    return ecs_models.RunInstancesRequest(
        region_id="cn-hangzhou",
        image_id="aliyun_3_x64_20G_scc_alibase_20220225.vhd",
        instance_type="ecs.e-c1m2.xlarge",
        security_group_id="sg-bp1esyhwfbqeyudt****",
        v_switch_id="vsw-bp1nzprm8h7mmnl8t****",
        instance_name="sdk-test",
        instance_charge_type="PostPaid",
        key_pair_name="sdk-key-pair",
        system_disk_category="cloud_essd"
    )

# Langkah 4: Panggil API untuk membuat instance
def create_instance(client, request):
    runtime = RuntimeOptions()
    try:
        response = client.run_instances_with_options(request, runtime)
        print("Instance berhasil dibuat. ID Instance:", response.body.instance_id_sets.instance_id_set[0])
    except Exception as e:
        print("Gagal membuat instance. Pesan kesalahan:", e)

# Fungsi utama
if __name__ == "__main__":
    sts_token = get_sts_token()  # Peroleh token STS
    ecs_client = create_ecs_client(sts_token)  # Inisialisasi klien ECS
    request = build_create_instance_request()  # Buat permintaan untuk membuat instance
    create_instance(ecs_client, request)  # Panggil API untuk membuat instance

Lindungi AccessKey dan kurangi risiko kebocoran

Jika Anda harus menggunakan AccessKey, perkuat manajemen keamanannya sepanjang siklus hidupnya—mulai dari pembuatan, penyimpanan, distribusi, hingga penggunaan.

• Pembuatan: Ikuti prinsip "satu AccessKey per orang, satu AccessKey per aplikasi." Jangan berbagi AccessKey di antara beberapa pengguna atau program. Jika AccessKey bocor, praktik ini memungkinkan Anda dengan cepat mengidentifikasi pihak yang bertanggung jawab, membatasi dampak, dan segera melakukan rotasi kunci.

• Manajemen izin: Terapkan prinsip hak istimewa minimal dan berikan hanya izin yang diperlukan. Gunakan pengguna RAM dan tetapkan izin berdasarkan tanggung jawab mereka. Hindari penggunaan AccessKey akun Alibaba Cloud Anda. Untuk informasi selengkapnya, lihat Hindari penggunaan akun Alibaba Cloud Anda dan berikan izin berbeda kepada pengguna RAM dengan tanggung jawab berbeda.

• Penyimpanan aman: Simpan AccessKey pada perangkat tepercaya, seperti:

  • Berkas yang hanya dapat dibaca oleh pengguna root atau pengguna tertentu.

  • Database atau Key Management Service (KMS) dengan kontrol akses.

  • Jangan menyimpan AccessKey di catatan lokal, catatan cloud, repositori kode, riwayat obrolan, atau tanda tangan atau status pribadi.

• Distribusi aman: Distribusikan AccessKey dalam berkas terenkripsi. Kirim berkas AccessKey terenkripsi melalui satu saluran, seperti email, dan kirim kata sandi dekripsi melalui saluran terpisah, seperti pesan teks.

• Penggunaan aman: Jangan hard-code AccessKey dalam kode Anda. Sebagai gantinya, simpan AccessKey dalam berkas konfigurasi terpisah, enkripsi berkas tersebut, dan simpan di server tepercaya. Dekripsi berkas hanya setelah didistribusikan ke server, lalu atur izin berkas sehingga hanya pemilik yang dapat membacanya.

• Kontrol akses jaringan: Konfigurasikan kebijakan kontrol akses jaringan untuk AccessKey di konsol RAM. Untuk informasi selengkapnya, lihat Kebijakan kontrol akses jaringan untuk AccessKey.

• Rotasi dan pembersihan berkala

  • Rotasi berkala: Lakukan rotasi AccessKey Anda setiap 90 hari. Hasilkan AccessKey baru dan beri tahu pengguna untuk memperbarui ke kunci baru tersebut. Untuk informasi selengkapnya, lihat Rotasi AccessKey pengguna RAM.

  • Pembersihan berkala: Periksa catatan operasi AccessKey Anda di konsol RAM dan segera cabut kunci apa pun yang telah lama tidak digunakan. Untuk informasi selengkapnya, lihat Hapus AccessKey pengguna RAM.

• Pantau risiko kebocoran AccessKey: Gunakan fitur deteksi kebocoran AccessKey di Security Center untuk mengidentifikasi apakah AccessKey telah bocor. Fitur ini mendukung pemberitahuan peringatan untuk AccessKey yang bocor. Selain itu, jika AccessKey bocor, Alibaba Cloud menyediakan perlindungan restriktif untuk AccessKey guna mencegah eskalasi risiko.

Kemampuan kepatuhan