Resource Access Management:Buat pasangan AccessKey

Apa itu pasangan AccessKey?

Pasangan AccessKey adalah kredensial jangka panjang yang digunakan Alibaba Cloud untuk mengotentikasi permintaan programatik. Pasangan ini terdiri dari ID AccessKey dan Rahasia AccessKey.

• AccessKey ID: Identifier publik dan unik untuk pasangan AccessKey Anda.

• AccessKey secret: Kunci privat yang digunakan untuk menandatangani permintaan API. Signature tersebut memverifikasi keaslian dan integritas permintaan. Anda harus menjaga kerahasiaan AccessKey secret secara ketat.

Jenis AccessKey

Pasangan AccessKey dikategorikan menjadi dua jenis berdasarkan pemiliknya:

• Pasangan AccessKey Akun Alibaba Cloud (Tidak direkomendasikan)

  Pasangan AccessKey ini dimiliki oleh Akun Alibaba Cloud. Secara default, pasangan ini memiliki izin penuh atas semua resource di bawah akun tersebut. Jika dikompromikan, risiko keamanannya sangat tinggi. Kami sangat menyarankan agar Anda tidak membuat atau menggunakan pasangan AccessKey untuk Akun Alibaba Cloud Anda.

• Pasangan Kunci Akses Pengguna RAM (Direkomendasikan)

  Pasangan AccessKey ini dimiliki oleh Pengguna RAM. Anda harus membuat Pengguna RAM sebelum dapat membuat pasangan AccessKey untuknya. Pasangan AccessKey Pengguna RAM mewarisi izin pengguna tersebut, sehingga memungkinkan manajemen akses berbasis prinsip least privilege. Sebagai praktik terbaik, tetapkan Pengguna RAM dan pasangan AccessKey terpisah untuk setiap aplikasi independen. Hal ini mencegah pemberian izin berlebihan dan meminimalkan dampak jika kredensial dikompromikan.

Persyaratan izin

Akun Alibaba Cloud memiliki izin yang berlebihan, sehingga hindari menggunakannya untuk membuat pasangan AccessKey di lingkungan produksi. Sebagai gantinya, gunakan Pengguna RAM dengan izin yang sesuai untuk membuat dan mengelola pasangan AccessKey (kecuali yang dimiliki oleh Akun Alibaba Cloud).

• Anda dapat memberikan kebijakan sistem AliyunRAMFullAccess (administrator RAM) kepada administrator agar mereka dapat membuat dan mengelola pasangan AccessKey untuk Pengguna RAM.

• Anda juga dapat mengaktifkan opsi Allow users to manage AccessKey di pengaturan keamanan global RAM agar pengguna dapat mengelola pasangan AccessKey mereka sendiri. Untuk informasi lebih lanjut, lihat Kelola pengaturan keamanan untuk Pengguna RAM.

  Catatan

  Mengaktifkan pengaturan ini berarti bahwa semua Pengguna RAM dapat mengelola pasangan AccessKey mereka sendiri, termasuk membuat, menonaktifkan, dan menghapusnya, kecuali administrator menyambungkan kebijakan yang secara eksplisit melarang operasi tersebut.

  Kami tidak merekomendasikan mengaktifkan pengaturan ini di lingkungan produksi. Untuk mengizinkan pengguna tertentu mengelola pasangan AccessKey mereka sendiri, kami menyarankan menggunakan kebijakan kustom dan mengatur elemen Resource ke identitas pengguna tersebut. Lihat contoh kebijakan berikut:

  Buat AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Kelola AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Buat AccessKey untuk Pengguna RAM

Lakukan langkah-langkah berikut sebagai administrator RAM (pengguna dengan kebijakan AliyunRAMFullAccess). Jika Anda belum memiliki Pengguna RAM di akun Anda, lihat Buat Pengguna RAM.

Buat AccessKey Akun Alibaba Cloud (Tidak direkomendasikan)

1. Login ke Konsol Alibaba Cloud menggunakan Akun Alibaba Cloud Anda.

2. Arahkan kursor ke foto profil Anda di pojok kanan atas dan klik AccessKey.

   

3. Di kotak dialog We do not recommend that you use the AccessKey of your Alibaba Cloud account, baca risiko membuat pasangan AccessKey untuk Akun Alibaba Cloud Anda. Jika Anda tetap ingin melanjutkan, centang kotak I am aware of the security risks of using a main account AccessKey., lalu klik Continue to use the AccessKey of my Alibaba Cloud account.

   

4. Di halaman AccessKey, klik Create AccessKey.

   

   Catatan

   Akun Alibaba Cloud dapat memiliki maksimal dua pasangan AccessKey. Satu untuk penggunaan aktif, dan satu lagi untuk rotasi.

5. Di kotak dialog Create Main Account AccessKey, tinjau kembali risiko dan batasannya. Jika Anda yakin ingin membuat pasangan AccessKey tersebut, centang kotak I am aware of the security risks of using a main account AccessKey., lalu klik Continue to use the AccessKey of my Alibaba Cloud account.

   

6. Di kotak dialog Create AccessKey, simpan ID AccessKey dan Rahasia AccessKey. Kemudian, centang kotak I have saved the AccessKey Secret dan klik OK.

   (Direkomendasikan) Konfigurasikan kebijakan ACL jaringan AccessKey: Anda dapat membatasi alamat IP sumber permintaan API yang menggunakan pasangan AccessKey ini. Hal ini membantu meningkatkan keamanan dengan memastikan pasangan AccessKey hanya digunakan dari lingkungan jaringan tepercaya. Kami menyarankan Anda mengklik Configure network access policy untuk menentukan lingkungan jaringan tepercaya untuk pasangan AccessKey ini. Untuk informasi lebih lanjut, lihat Konfigurasikan kebijakan ACL jaringan AccessKey untuk Akun Alibaba Cloud.

   

   Penting

   Untuk mengurangi risiko kebocoran, Rahasia AccessKey untuk Akun Alibaba Cloud hanya ditampilkan saat pembuatan dan tidak dapat diambil kembali.