Resource Access Management：Gunakan ID eksternal untuk mencegah masalah wakil yang bingung

Skema

Dalam beberapa kasus, perusahaan memerlukan vendor pihak ketiga untuk mengelola sumber daya cloud mereka dalam skenario seperti audit log, manajemen biaya, dan pemantauan keamanan. Dalam skenario ini, akses lintas akun terlibat karena perusahaan memberikan izin kepada vendor pihak ketiga untuk mengakses sumber daya cloud mereka. Alibaba Cloud Resource Access Management (RAM) menyediakan operasi AssumeRole untuk mengimplementasikan akses lintas akun.

Vendor pihak ketiga mungkin perlu mengakses beberapa akun Alibaba Cloud milik pelanggan yang berbeda. Jika seorang penyerang menipu vendor pihak ketiga dan vendor tersebut menganggap penyerang sebagai pelanggan, pelanggan asli menghadapi masalah wakil yang bingung. Masalah wakil yang bingung adalah masalah keamanan yang terjadi ketika entitas tepercaya ditipu atau disesatkan oleh entitas jahat untuk melakukan operasi tanpa izin. Setelah entitas jahat menipu entitas tepercaya untuk mendapatkan akses tidak sah, entitas jahat tersebut menjadi wakil yang bingung. Alibaba Cloud RAM menyediakan ID eksternal untuk mencegah masalah wakil yang bingung. Untuk informasi lebih lanjut, lihat AssumeRole.

Cara kerja ID eksternal

1. Vendor pihak ketiga menghasilkan ID eksternal unik untuk setiap pelanggan. Setiap ID eksternal adalah string acak.

2. Setelah pelanggan memperoleh ID eksternal dari vendor pihak ketiga, pelanggan menambahkan ID eksternal ke kebijakan kepercayaan dari peran yang diasumsikan oleh vendor pihak ketiga untuk mengakses sumber daya pelanggan.

3. Ketika vendor pihak ketiga memanggil operasi AssumeRole untuk mengasumsikan peran, vendor pihak ketiga harus menentukan ID eksternal yang dihasilkan untuk pelanggan. Jika tidak ada ID eksternal yang diberikan atau ID eksternal yang diberikan tidak valid, panggilan gagal.

Prosedur

Dalam contoh ini, vendor pihak ketiga adalah Deputy, akun Alibaba Cloud milik vendor adalah Deputy_Account, akun Alibaba Cloud milik pelanggan adalah Customer_Account, dan ID eksternal yang diberikan oleh vendor kepada pelanggan adalah abcd1234. Deputy perlu mengakses sumber daya Customer_Account menggunakan Deputy_Account.

1. Pelanggan membuat peran RAM dalam Customer_Account, memilih Deputy_Account sebagai entitas tepercaya untuk peran RAM, dan memberikan izin yang diperlukan kepada peran RAM.

   Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk Akun Alibaba Cloud Tepercaya dan Berikan Izin kepada Pengguna RAM.

2. Pelanggan memodifikasi kebijakan kepercayaan dari peran RAM dengan menambahkan kondisi ExternalId. Entitas tepercaya hanya dapat mengasumsikan peran RAM jika entitas tersebut memberikan abcd1234 sebagai ID eksternal.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<deputy-accountId>:root"
           ]
         },
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "abcd1234"
           }
         }
       }
     ],
     "Version": "1"
   }

   Untuk informasi lebih lanjut, lihat Edit Kebijakan Kepercayaan dari Peran RAM.

3. Ketika Deputy mengasumsikan peran RAM untuk mengakses sumber daya Customer_Account, Deputy memberikan abcd1234.

   Dalam contoh ini, Deputy menetapkan parameter ExternalId ke abcd1234 dalam parameter permintaan untuk memanggil operasi AssumeRole. Untuk informasi lebih lanjut, lihat AssumeRole.

4. Deputy menggunakan Token Layanan Keamanan (STS) yang dihasilkan untuk mengakses sumber daya Customer_Account.

Referensi

Gunakan Peran RAM untuk Memberikan Izin Lintas Akun Alibaba Cloud