Perlindungan restriktif untuk pasangan AccessKey yang dikompromikan - Resource Access Management

Pasangan AccessKey (AK) merupakan kredensial yang digunakan untuk autentikasi saat memanggil operasi API Alibaba Cloud. Insiden keamanan menunjukkan bahwa setelah AK dikompromikan, penyerang dapat dengan cepat mengambil alih akun terkait, mengganggu beban kerja cloud Anda, serta menyebabkan tagihan berlebih atau pelanggaran data. Untuk melindungi aset cloud Anda, Alibaba Cloud menerapkan perlindungan restriktif terhadap AK ketika tanda-tanda kompromi terdeteksi guna mencegah kerusakan lebih lanjut.

Gejala perlindungan restriktif AK

Saat mengakses Alibaba Cloud melalui panggilan API langsung atau alat pengembang seperti CLI, SDK, atau Terraform, pesan error berikut menunjukkan bahwa AK yang digunakan untuk autentikasi sedang berada di bawah perlindungan restriktif:

Forbidden : Terdapat risiko kebocoran AccessKey ini.

Lingkup perlindungan restriktif AK

Perlindungan restriktif AK berlaku untuk operasi API berisiko tinggi tertentu, terlepas dari alamat IP sumber atau metode aksesnya. Daftar operasi API yang dibatasi dapat berubah sewaktu-waktu. Untuk daftar terkini, lihat Operasi API yang Dibatasi.

Menghapus perlindungan restriktif AK

Karena AK tidak dapat diubah setelah dibuat, AK yang dikompromikan tetap menjadi risiko hingga dihapus atau diputar (rotated). Oleh karena itu, perlindungan restriktif tidak dapat dicabut.

Daftar API yang dibatasi hanya mencakup sejumlah operasi terbatas. Penyerang masih dapat menggunakan AK yang dikompromikan untuk memanggil operasi API di luar daftar perlindungan dan memengaruhi beban kerja cloud Anda. Perlindungan restriktif oleh karenanya merupakan langkah sementara. Ikuti petunjuk dalam Rencana respons kebocoran AccessKey untuk menghapus atau memutar AK dan mengatasi risiko tersebut.

Jika Anda memerlukan bantuan selama proses ini atau tidak setuju dengan tindakan perlindungan restriktif, kunjungi halaman Emergency Response dan klik Contact Support.

Cara menghindari pemicuan perlindungan restriktif

Setelah membuat pasangan AccessKey (AK), konfigurasikan kebijakan pembatasan akses jaringan untuk membatasi sumber panggilan API hanya pada alamat IP tepercaya.

Konfigurasi kebijakan pembatasan akses jaringan

Pada halaman detail pengguna di Konsol RAM, klik tab Credentials.
Pada bagian pasangan AccessKey, klik Network Access Restriction Policy di kolom Actions untuk AK yang dituju.
Aktifkan kebijakan tersebut, tambahkan kebijakan akses publik, lalu masukkan alamat IP sumber tepercaya.
Masukkan ID AccessKey untuk mengonfirmasi perubahan, lalu submit.

Penting

Jika Anda tidak mengonfigurasi kebijakan akses publik atau kebijakan akses VPC, semua akses jenis jaringan terkait akan diblokir secara default.

Kebijakan pembatasan akses jaringan memiliki dua jenis: kebijakan akses publik, yang membatasi alamat IP sumber, dan kebijakan akses VPC, yang membatasi baik VPC maupun alamat IP sumber.

Putar (rotate) pasangan AccessKey

Pada tab Credentials, klik Create AccessKey.
Pilih skenario penggunaan dan lengkapi verifikasi MFA untuk membuat pasangan AccessKey baru.
Perbarui aplikasi Anda agar menggunakan pasangan AccessKey yang baru. Setelah memastikan bisnis berjalan sebagaimana mestinya, nonaktifkan dan hapus pasangan AccessKey lama.

Untuk langkah-langkah detail, lihat Putar pasangan AccessKey pengguna RAM.

Operasi API yang Dibatasi

Layanan	Versi API	API	Deskripsi
Resource Access Management (RAM)	2015-05-01	All	N/A
Identity Management Service (IMS)	2019-08-15	All	N/A
CloudSSO	2021-05-15	EnableService	Aktifkan CloudSSO
Elastic Compute Service (ECS)	2014-05-26	RunInstances	Buat satu atau beberapa instans ECS pay-as-you-go atau subscription
		CreateInstance	Buat instans ECS subscription atau pay-as-you-go
		CreateAutoProvisioningGroup	Buat kelompok penyediaan otomatis
		StartInstance	Jalankan instans
		StartInstances	Jalankan instans
		RunCommand	Jalankan skrip pada instans
		DeleteInstance	Hapus instans ECS
		DeleteInstances	Hapus instans ECS secara batch
		DeleteSnapshotGroup	Hapus grup snapshot
		DeleteSnapshot	Hapus snapshot
		DeleteImage	Hapus gambar kustom
		CreateCommand	Buat perintah Asisten Cloud
		InvokeCommand	Jalankan perintah Asisten Cloud pada satu atau beberapa instans ECS
Elastic Container Instance (ECI)	2018-08-08	CreateContainerGroup	Buat kelompok kontainer
		BatchCreateContainerGroups	Buat kelompok kontainer secara batch
		DeleteContainerGroup	Hapus kelompok kontainer
		DeleteContainerGroups	Hapus kelompok kontainer secara batch
Short Message Service (SMS)	2017-05-25	AddSmsTemplate	Ajukan Template SMS
		SendSms	Kirim pesan SMS
		SendBatchSms	Kirim pesan SMS secara batch
		CreateSmsTemplate	Ajukan Template SMS
Elastic Desktop Service (EDS)	2020-09-30	StartDesktops	Jalankan desktop cloud
		CreateDesktops	Buat desktop cloud
		CreateDesktopGroup	Buat grup desktop
		ModifyDesktopGroup	Ubah grup desktop
		RebootDesktops	Mulai ulang desktop cloud
		RebuildDesktops	Ubah gambar desktop cloud
		GetConnectionTicket	Sambungkan ke desktop cloud
		ModifyDesktopSpec	Ubah spesifikasi desktop cloud
		RunCommand	Jalankan perintah remote pada desktop cloud
Performance Testing Service (PTS)	2019-08-10	StartJMeterTesting	Jalankan pengujian JMeter
		SaveJMeterScene	Simpan skenario JMeter
		CreateJMeterScene	Buat scene JMeter
		CreateCronJob	Buat pengujian stres terjadwal
		StartSceneTesting	Jalankan pengujian stres
		StartDebugging	Jalankan tugas debugging
		CreateScene	Buat scene
		SaveScene	Simpan scene
Performance Testing Service (PTS)	2020-10-20	SaveOpenJMeterScene	Simpan scene
		StartDebuggingJMeterScene	Debug scene
		StartTestingJMeterScene	Jalankan pengujian stres pada scene
		SavePtsScene	Simpan atau ubah scene
		CreatePtsScene	Buat scene
		StartDebugPtsScene	Debug scene
		StartPtsScene	Jalankan scene
ApsaraDB RDS for MySQL	2014-08-15	ModifyBackupPolicy	Ubah kebijakan cadangan instans
		DeleteBackup	Hapus file cadangan instans
		DescribeBackups	Kueri set cadangan instans RDS
		DeleteDBInstance	Lepaskan instans RDS
		DestroyDBInstance	Hancurkan instans
		DeleteDatabase	Hapus database
		CreateAccount	Buat akun database
		ResetAccountPassword	Atur ulang password akun database
		ResetAccount	Atur ulang izin akun istimewa
		GrantAccountPrivilege	Berikan izin akses database kepada akun
Database Disaster Recovery (DBS)	2021-01-01	ModifyBackupStrategy	Ubah jadwal pencadangan
		CreateDownload	Buat tugas unduhan
		DescribeDownloadBackupSetStorageInfo	Kueri informasi penyimpanan set cadangan yang dapat diunduh
Alibaba Cloud DNS	2015-01-09	DeleteDomain	Hapus nama domain
		AddDomainRecord	Tambahkan rekaman DNS
		DeleteDomainRecord	Hapus rekaman DNS
		UpdateDomainRecord	Ubah rekaman DNS
		SetDomainRecordStatus	Atur status rekaman DNS
Alibaba Cloud Billing	2017-12-14	RefundInstance	Batalkan langganan instans
Instant Computing Service	2023-07-01	CreateJob	Buat pekerjaan E-HPC Instant
Instant Computing Service	2023-07-01	CreatePool	Buat kolam sumber daya
Elastic High Performance Computing (E-HPC)	2024-07-30	CreateCluster	Buat kluster
Elastic High Performance Computing (E-HPC)	2024-07-30	CreateNodes	Buat node komputasi secara batch
Data Management (DMS)	2018-11-01	CreateOrder	Buat tiket
		CreateDataExportOrder	Buat tiket ekspor set hasil SQL
		CreateDatabaseExportOrder	Buat tiket ekspor database
		CreateDataCorrectOrder	Buat tiket perubahan data reguler
		CreateDataCronClearOrder	Buat tiket pembersihan data historis
		CreateDataImportOrder	Buat tiket impor data
		CreateFreeLockCorrectOrder	Buat tiket perubahan tanpa lock
		GetDataExportDownloadURL	Dapatkan URL unduhan hasil ekspor data
		GetDbExportDownloadURL	Dapatkan URL unduhan hasil ekspor database
		CreateProcCorrectOrder	Buat tiket perubahan objek programmable