Hindari menggunakan Akun Alibaba Cloud secara langsung untuk mengakses layanan cloud kecuali benar-benar diperlukan. Sebagai gantinya, gunakan pengguna Resource Access Management (RAM) atau peran RAM untuk akses sehari-hari.
RAM user
Pengguna RAM dibuat oleh Akun Alibaba Cloud atau oleh pengguna RAM dan peran RAM yang memiliki izin administrator. Setelah diberi otorisasi, pengguna RAM dapat masuk ke Konsol atau memanggil operasi API untuk mengakses resource dalam Akun Alibaba Cloud induk.
Praktik terbaik:
-
Buat pengguna RAM dengan izin administrator, lalu gunakan pengguna RAM tersebut untuk membuat dan mengelola pengguna RAM lainnya.
-
Pisahkan pengguna RAM untuk individu dari pengguna RAM untuk program.
Anda dapat membuat pengguna RAM di RAM console atau by calling an API operation. Konsol memerlukan kredensial Akun Alibaba Cloud Anda; API memerlukan Pasangan Kunci Akses. Memisahkan pengguna RAM manusia dan programatis mencegah operasi tidak disengaja. Aktifkan MFA untuk pengguna RAM berbasis konsol.
-
Berikan izin berdasarkan prinsip least-privilege kepada pengguna RAM.
Berikan hanya izin minimum yang diperlukan untuk setiap operasi guna meningkatkan keamanan data dan mencegah penyalahgunaan izin.
-
Jangan pernah menyematkan Pasangan Kunci Akses dalam kode. Kebocoran Pasangan Kunci Akses akan mengekspos seluruh resource dalam akun Anda. Gunakan token STS atau variabel lingkungan sebagai gantinya.
-
Aktifkan SSO untuk pengguna RAM agar mereka dapat mengakses Konsol Alibaba Cloud melalui sistem identitas perusahaan mereka.
Operasi terkait
RAM user group
Kelompokkan pengguna RAM untuk menyederhanakan pengelolaan izin. Anda dapat memberikan izin yang sama kepada semua anggota grup pengguna RAM. Praktik terbaik:
-
Berikan izin berdasarkan prinsip least-privilege kepada grup pengguna RAM.
-
Hapus pengguna RAM dari grup ketika tugasnya berubah.
-
Cabut izin yang tidak diperlukan dari grup pengguna RAM.
Operasi terkait
RAM role
Peran RAM adalah jenis identitas RAM yang memiliki kebijakan terlampir. Berbeda dengan pengguna RAM, peran tidak terikat pada satu orang atau aplikasi tertentu—setiap entitas tepercaya dapat mengasumsikan peran tersebut. Peran tidak memiliki kredensial jangka panjang seperti kata sandi atau Pasangan Kunci Akses. Ketika suatu pihak yang berwenang mengasumsikan peran, Layanan Token Keamanan (STS) menghasilkan kredensial keamanan sementara yang hanya berlaku untuk sesi tersebut.
Praktik terbaik:
-
Jangan sering mengubah entitas tepercaya suatu peran RAM setelah dibuat. Mengubah entitas tepercaya dapat menyebabkan kehilangan izin yang berdampak pada bisnis Anda; menambahkannya dapat menimbulkan risiko peningkatan hak istimewa. Uji semua modifikasi sebelum menerapkannya.
-
Entitas tepercaya yang memiliki izin yang diperlukan dapat memanggil AssumeRole untuk mendapatkan token STS berdurasi terbatas guna mengasumsikan peran RAM. Atur periode validitas token ke nilai yang sesuai untuk mengurangi risiko keamanan.
CatatanPeriode validitas maksimum token STS adalah durasi sesi terpanjang yang ditentukan untuk peran RAM tersebut. Tentukan durasi sesi yang sesuai untuk mengurangi risiko keamanan.
-
Aktifkan SSO untuk peran RAM agar pengguna dapat mengakses Konsol Alibaba Cloud melalui sistem identitas perusahaan mereka.