Resource Access Management:Akses programatik ke Alibaba Cloud

Topik ini menjelaskan praktik terbaik untuk menyediakan kredensial secara aman kepada aplikasi dan alat yang perlu melakukan panggilan API programatik ke Alibaba Cloud. Mengikuti praktik ini membantu mengurangi risiko keamanan akibat paparan kredensial.

Pahami kredensial untuk akses programatik

Saat mengakses Alibaba Cloud secara programatik menggunakan SDK, CLI, atau alat pengembangan lainnya, Anda harus menyediakan kredensial untuk mengotentikasi identitas Anda. Terdapat dua jenis utama kredensial:

• AccessKey pair: Kredensial jangka panjang yang terdiri dari ID AccessKey dan Rahasia AccessKey. Pasangan AccessKey dikaitkan dengan Pengguna RAM dan memiliki izin yang sama seperti pengguna tersebut. Karena tidak kedaluwarsa, kredensial ini harus dikelola dengan sangat hati-hati. Untuk informasi lebih lanjut, lihat Buat pasangan AccessKey.

• Security Token Service (STS) token: Kredensial sementara jangka pendek dengan izin terbatas dan waktu kedaluwarsa yang dapat dikonfigurasi. Token STS merupakan jenis kredensial yang direkomendasikan untuk sebagian besar kasus penggunaan karena secara signifikan mengurangi risiko kebocoran kredensial.

Mengapa Anda harus menghindari pasangan AccessKey jangka panjang

Kredensial yang dikelola secara tidak tepat—terutama pasangan AccessKey jangka panjang—menimbulkan risiko keamanan yang signifikan. Kesalahan umum dan serius adalah menyematkan pasangan AccessKey langsung ke dalam kode sumber aplikasi. Jika kode tersebut di-commit ke repositori publik seperti GitHub, dibagikan kepada pihak lain, atau bahkan hanya disimpan di repositori internal yang dapat diakses secara luas, kredensial tersebut berisiko dikompromikan. Penyerang yang memperoleh pasangan AccessKey yang valid dapat mengakses sumber daya Alibaba Cloud Anda, yang berpotensi menyebabkan pelanggaran data atau kerugian finansial.

Praktik terbaik: Gunakan kredensial sementara dengan peran RAM

Metode paling aman bagi aplikasi untuk mengakses Alibaba Cloud adalah menggunakan peran RAM guna memperoleh token STS sementara. Pendekatan ini menghilangkan kebutuhan untuk mengelola dan mendistribusikan pasangan AccessKey jangka panjang. Metode yang direkomendasikan bervariasi tergantung pada lingkungan tempat aplikasi Anda berjalan.

Kelola kredensial jangka panjang secara aman (jika diperlukan)

Jika penggunaan peran RAM dan kredensial sementara tidak memungkinkan untuk kasus penggunaan Anda, dan Anda harus menggunakan pasangan AccessKey jangka panjang, simpanlah secara aman menggunakan variabel lingkungan atau file kredensial. Jangan menyematkannya langsung dalam aplikasi Anda.

Anda dapat mengonfigurasi ID AccessKey dan rahasia Anda sebagai variabel lingkungan:

• Linux dan macOS

  Jalankan perintah berikut:

  export ALIBABA_CLOUD_ACCESS_KEY_ID=<access_key_id>
  export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<access_key_secret>

  Ganti <access_key_id> dengan ID AccessKey Anda dan <access_key_secret> dengan Rahasia AccessKey Anda.

• Windows

  1. Buat file variabel lingkungan, tambahkan variabel lingkungan ALIBABA_CLOUD_ACCESS_KEY_ID dan ALIBABA_CLOUD_ACCESS_KEY_SECRET ke file tersebut, lalu tetapkan ID AccessKey Anda untuk ALIBABA_CLOUD_ACCESS_KEY_ID dan Rahasia AccessKey Anda untuk ALIBABA_CLOUD_ACCESS_KEY_SECRET.

  2. Mulai ulang sistem operasi Windows.

Alibaba Cloud SDK dirancang untuk secara otomatis mencari kredensial dalam urutan tertentu, dimulai dari variabel lingkungan. Jika Anda menyetel variabel ini, Anda dapat menginisialisasi client SDK tanpa menyediakan kredensial apa pun dalam kode Anda.

Contoh:

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        // Jenis kredensial yang Anda inginkan
        config.setType("access_key");
        // AccessKeyId dari pengguna ram Anda
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // AccessKeySecret dari pengguna ram Anda
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}

Apa yang harus dilakukan jika kredensial bocor

Jika Anda mencurigai pasangan AccessKey atau token STS telah dikompromikan, segera ambil tindakan untuk melindungi akun Anda. Untuk langkah-langkah detail, lihat Tangani pasangan AccessKey yang dikompromikan dan Peran RAM dan token STS.

Referensi

• Keamanan akun dan kredensial

• Deteksi kebocoran pasangan AccessKey

• Kelola dan gunakan rahasia RAM