Resource Access Management:Batasi akses pengguna berdasarkan periode waktu

Prasyarat

• Akun Alibaba Cloud atau Pengguna RAM yang memiliki izin manajemen RAM. Identitas ini digunakan untuk login ke Konsol RAM dan menyelesaikan langkah-langkah dalam topik ini.

Skenario

Perusahaan A menjalankan bisnisnya menggunakan berbagai sumber daya Alibaba Cloud, seperti Instance ECS, Instance RDS, Instance SLB, dan Bucket OSS. Untuk melindungi bisnis dan keamanan datanya, perusahaan ingin agar penggunanya hanya dapat mengakses Alibaba Cloud selama jam kerja, bukan kapan saja.

Untuk mencapai hal tersebut, Anda membuat kebijakan kustom yang mencakup kondisi berbasis waktu, membuat Pengguna RAM jika belum tersedia, lalu menyambungkan kebijakan tersebut ke Pengguna RAM tersebut. Dengan demikian, Pengguna RAM hanya dapat mengakses sumber daya Alibaba Cloud yang ditentukan selama periode waktu yang telah ditetapkan.

Langkah 1: Buat kebijakan kustom

1. Login ke Konsol RAM sebagai administrator RAM.

2. Di panel navigasi sebelah kiri, pilih Permissions > Policies.

3. Pada halaman Policies, klik Create Policy.

4. Pada halaman Create Policy, klik tab JSON Editor.

   Halaman ini menampilkan editor JSON. Templat kebijakan default mencakup elemen Version (diatur ke "1") dan array Statement. Setiap pernyataan mencakup elemen Effect (default "Allow"), Action, Resource, dan Condition. Anda harus mengisi elemen Action dan Resource.

5. Masukkan dokumen kebijakan.

   Kebijakan contoh berikut mengizinkan Pengguna RAM mengakses ECS hanya sebelum pukul 17.00.00 pada 12 Agustus 2019 (UTC+8). Nilai waktu ini hanya contoh. Gantilah dengan periode waktu saat perusahaan Anda mengizinkan akses. Kebijakan ini hanya mengizinkan akses sebelum titik waktu yang ditentukan. Kebijakan ini menggunakan operator DateLessThan untuk mengatur acs:CurrentTime dalam elemen Condition menjadi 2019-08-12T17:00:00+08:00.

   {
     "Statement": [
       {
         "Action": "ecs:*",
         "Effect": "Allow",
         "Resource": "*",
         "Condition": {
             "DateLessThan": {
                 "acs:CurrentTime": "2019-08-12T17:00:00+08:00"
             }
         }
       }
     ],
     "Version": "1"
   }

   Catatan

   Elemen Condition hanya berlaku untuk operasi yang dijelaskan oleh kebijakan saat ini. Anda dapat mengganti 2019-08-12T17:00:00+08:00 dengan periode waktu saat perusahaan Anda mengizinkan akses.

6. Di bagian atas halaman, klik Optimize, lalu klik Perform untuk melakukan optimasi lanjutan pada kebijakan.

   Fitur optimasi kebijakan lanjutan melakukan tugas-tugas berikut:

   • Memisahkan resource atau kondisi untuk aksi yang tidak kompatibel.

   • Mempersempit cakupan resource.

   • Menghapus pernyataan duplikat atau menggabungkan pernyataan.

7. Pada kotak dialog Create Policy, klik OK.

8. Pada kotak dialog Create Policy, masukkan policy name dan Description, lalu klik OK.

Langkah 2: Buat Pengguna RAM

1. Login ke Konsol RAM menggunakan Akun Alibaba Cloud (akun root) atau sebagai administrator RAM.

2. Di panel navigasi sebelah kiri, pilih Identities > Users.

3. Pada halaman Users, klik Create User.

4. Pada halaman Create User, pada bagian User Account Information, konfigurasikan informasi dasar pengguna.

   • Logon Name: Nama login dapat berisi huruf, angka, titik (.), tanda hubung (-), dan garis bawah (_), serta panjangnya maksimal 64 karakter.

   • Display Name: Nama tampilan panjangnya maksimal 128 karakter.

   • Tag: Klik , lalu masukkan kunci tag dan nilai tag. Tag menyederhanakan manajemen Pengguna RAM berbasis tag.

5. Pada bagian Access Mode, pilih mode akses dan konfigurasikan parameter yang sesuai.

   Untuk keamanan akun, pilih hanya satu mode akses untuk setiap Pengguna RAM. Hal ini memisahkan pengguna manusia dari pengguna aplikasi.

   • Console Access

     Jika Pengguna RAM mewakili pengguna manusia, aktifkan akses konsol agar pengguna dapat mengakses Alibaba Cloud menggunakan username dan kata sandi logon. Konfigurasikan parameter berikut:

     • Kata sandi logon konsol: Pilih pembuatan kata sandi otomatis atau tentukan kata sandi kustom. Kata sandi logon kustom harus memenuhi persyaratan kompleksitas kata sandi. Untuk informasi selengkapnya, lihat Setel kebijakan kata sandi untuk Pengguna RAM.

     • Kebijakan pengaturan ulang kata sandi: Tentukan apakah Pengguna RAM harus mengatur ulang kata sandi saat login berikutnya.

     • Kebijakan autentikasi multi-faktor (MFA): Tentukan apakah akan mengaktifkan MFA untuk Pengguna RAM saat ini. Setelah Anda mengaktifkan MFA, Anda juga harus bind perangkat MFA. Untuk informasi selengkapnya, lihat Bind perangkat MFA.

   • Permanent AccessKey

     Jika Pengguna RAM mewakili aplikasi, Anda dapat menggunakan pasangan AccessKey permanen untuk mengakses Alibaba Cloud. Setelah Anda mengaktifkan mode akses ini, sistem secara otomatis menghasilkan ID AccessKey dan Rahasia AccessKey untuk Pengguna RAM tersebut. Untuk informasi selengkapnya, lihat Buat pasangan AccessKey.

     • Rahasia AccessKey hanya ditampilkan saat pembuatan dan tidak dapat dilihat lagi nanti. Simpanlah dengan aman.

     • Pasangan AccessKey adalah kredensial jangka panjang untuk akses programatik. Kebocoran pasangan AccessKey mengancam keamanan semua sumber daya di bawah akun tersebut. Untuk mengurangi risiko kebocoran kredensial, gunakan token Security Token Service (kredensial sementara) sebagai gantinya. Untuk informasi selengkapnya, lihat Praktik terbaik penggunaan kredensial akses untuk memanggil API Alibaba Cloud.

6. Klik OK

Langkah 3: Berikan izin kepada Pengguna RAM

Sambungkan kebijakan kustom yang dibuat di Langkah 1 ke Pengguna RAM yang dibuat di Langkah 2.