Untuk meningkatkan keamanan dan menyederhanakan manajemen, Anda harus segera menonaktifkan atau menghapus pengguna Resource Access Management (RAM) yang tidak lagi diperlukan. Topik ini menjelaskan siklus hidup pengguna, termasuk cara melakukan pemeriksaan keamanan sebelum penghapusan, memindahkan pengguna RAM ke Keranjang daur ulang, serta memulihkan atau menghapus pengguna secara permanen.
Pemeriksaan keamanan sebelum penghapusan
Sebelum menghapus pengguna RAM, pastikan kredensialnya tidak sedang digunakan oleh sistem atau aplikasi apa pun untuk menghindari gangguan layanan. Sebagai praktik terbaik, kami menyarankan agar Anda terlebih dahulu menonaktifkan pengguna RAM selama periode pemantauan sebelum menghapusnya.
Daftar periksa sebelum penghapusan
Sebelum menghapus pengguna RAM, lakukan pemeriksaan berikut:
Periksa aktivitas pasangan AccessKey:
Di Konsol RAM, pada halaman detail pengguna, klik tab Authentication untuk melihat informasi Last Used Service / Time dari pasangan AccessKey pengguna tersebut.
Untuk melihat riwayat panggilan API secara mendetail, cari
AccessKeyIdpengguna tersebut di halaman AccessKey Pair Audit di Konsol ActionTrail.
Periksa aktivitas logon konsol:
Di Konsol RAM, pada halaman detail pengguna, klik tab Authentication untuk melihat informasi Last Console Logon.
Untuk melihat aktivitas konsol secara mendetail, klik tab Events pada halaman detail pengguna di Konsol RAM atau cari nama pengguna RAM tersebut di halaman Event Query di Konsol ActionTrail.
Periksa dependensi layanan:
Verifikasi bahwa kredensial pengguna RAM tidak digunakan untuk memperoleh kredensial lain, seperti file kubeconfig untuk Container Service for Kubernetes (ACK).
Pastikan identitas pengguna tidak digunakan untuk menjalankan tugas di layanan cloud lain, seperti DataWorks dan MaxCompute.
Di tab Permission Audit (Beta) pada halaman detail pengguna RAM, tinjau layanan-layanan yang telah diakses oleh pengguna RAM tersebut dan kapan terakhir kali diakses. Untuk informasi lebih lanjut, lihat Permission audit overview.
Buat cadangan informasi pengguna (opsional):
Saat Anda memulihkan pengguna, izin dan keanggotaan kelompok mereka tidak akan dipulihkan. Sebelum menghapus pengguna, pertimbangkan untuk menggunakan API atau skrip guna mengekspor kebijakan dan keanggotaan kelompok mereka untuk tujuan pencadangan.
Praktik terbaik: Nonaktifkan sebelum menghapus
Untuk pengguna RAM yang kemungkinan sudah tidak aktif, disarankan agar Anda terlebih dahulu menonaktifkan kredensial mereka dan memantau selama periode tertentu. Jika tidak ada masalah selama periode pemantauan tersebut, Anda dapat melanjutkan proses penghapusan. Ini merupakan prosedur paling aman untuk menangani skenario seperti off-boarding karyawan atau dekomisioning aplikasi.
Nonaktifkan pengguna RAM:
Nonaktifkan logon konsol: Di tab Authentication pada halaman detail pengguna RAM, atur Console Access menjadi Disabled.
Nonaktifkan pasangan AccessKey: Di tab Authentication pada halaman detail pengguna RAM, atur status semua pasangan AccessKey menjadi Disabled.
Pantau aktivitas: Pantau aplikasi dan layanan Anda selama periode tertentu (misalnya, 7 hingga 15 hari) untuk memastikan bahwa penonaktifan pengguna RAM tidak menyebabkan gangguan layanan.
Hapus pengguna RAM: Jika tidak ada masalah yang terdeteksi selama periode pemantauan, Anda dapat menghapus pengguna RAM tersebut dengan aman.
Mekanisme keranjang daur ulang untuk pengguna RAM
Saat Anda menghapus pengguna RAM, statusnya berubah sebagai berikut:
Untuk mencegah penghapusan tidak sengaja yang menyebabkan gangguan layanan, RAM menyediakan Keranjang daur ulang. Saat pengguna RAM dihapus, mereka dipindahkan ke Keranjang daur ulang alih-alih dihapus secara permanen. Keranjang daur ulang memiliki karakteristik berikut:
Penghapusan memindahkan pengguna ke Keranjang daur ulang: Saat Anda menghapus pengguna RAM, pengguna tersebut dipindahkan ke Keranjang daur ulang alih-alih langsung dihapus permanen.
Status dinonaktifkan: Saat pengguna RAM berada di Keranjang daur ulang, semua aksesnya dinonaktifkan. Izin, keanggotaan kelompok, dan binding perangkat MFA mereka dihapus.
Retensi dan purge: Pengguna RAM disimpan di Keranjang daur ulang selama 30 hari sebelum secara otomatis dan permanen di-purge. Anda dapat memulihkan pengguna RAM atau melakukan purge permanen kapan saja selama periode tersebut.
Batasan pemulihan: Memulihkan pengguna RAM hanya mengembalikan identitas dasarnya. Anda harus memberikan kembali izin secara manual, menetapkan ulang ke kelompok, dan meminta pengguna untuk mendaftarkan ulang perangkat MFA. Anda dapat memulihkan pasangan AccessKey lama mereka dari Keranjang daur ulang atau membuat yang baru.
Batas kuota: Keranjang daur ulang dapat menampung maksimal 1.000 pengguna RAM. Jika batas ini tercapai, pengguna RAM tertua akan secara otomatis di-purge untuk memberi ruang.
Prosedur
1. Pindahkan pengguna RAM ke keranjang daur ulang
Tindakan ini memindahkan pengguna RAM ke Keranjang daur ulang, tempat mereka akan secara otomatis di-purge setelah 30 hari. Memindahkan pengguna RAM ke Keranjang daur ulang segera menonaktifkan logon konsol dan pasangan AccessKey mereka, serta menghapus semua izin terkait dan binding perangkat MFA .
Konsol
Login ke Konsol RAM menggunakan Akun Alibaba Cloud Anda atau sebagai administrator RAM (dengan kebijakan
AliyunRAMFullAccessyang dilampirkan).Di panel navigasi sebelah kiri, pilih .
Di halaman Users, klik Delete di kolom Actions untuk pengguna RAM yang dituju.
Atau, Anda dapat memilih beberapa pengguna RAM sekaligus dan mengklik Delete Users di bawah daftar pengguna untuk memindahkan mereka ke Keranjang daur ulang secara batch. Tindakan ini tidak disarankan karena meningkatkan risiko penghapusan tidak sengaja.
Di kotak dialog Delete Users, tinjau dengan cermat konsekuensi penghapusan tersebut. Lalu, masukkan nama pengguna RAM yang dituju dan klik Move to Recycle Bin.
API
Panggil operasi DeleteUser untuk memindahkan pengguna RAM ke Keranjang daur ulang.
2. Kelola pengguna RAM di keranjang daur ulang
Anda dapat melihat, memulihkan, atau melakukan purge permanen terhadap pengguna RAM di Keranjang daur ulang.
Lihat pengguna RAM dan pasangan AccessKey di keranjang daur ulang
Di halaman Users, klik Recycle Bin di pojok kanan atas.
Di halaman Recycle Bin, Anda dapat melakukan tindakan berikut:
Di tab Users, Anda dapat melihat daftar pengguna RAM di Keranjang daur ulang.
Di tab AccessKey, Anda dapat melihat daftar pasangan AccessKey di Keranjang daur ulang.
Pulihkan pengguna RAM dari keranjang daur ulang
Gunakan tindakan ini untuk memulihkan pengguna RAM yang tidak sengaja dihapus.
Saat Anda memulihkan pengguna RAM, hanya informasi identitas dasar mereka (nama logon, nama tampilan, UID, waktu pembuatan, dan password) yang dipulihkan. Semua konfigurasi lain, seperti izin dan perangkat MFA, tidak dipulihkan dan harus dikonfigurasi ulang secara manual.
Di halaman Users, klik Recycle Bin di pojok kanan atas.
Di tab Users, temukan pengguna RAM yang dituju dan klik Restore di kolom Actions.
Anda juga dapat memilih beberapa pengguna RAM sekaligus dan mengklik Restore Users from Recycle Bin untuk memulihkan mereka secara batch.
Di kotak dialog Restore Users from Recycle Bin, klik OK.
Tugas setelah pemulihan:
Berikan kembali izin yang diperlukan kepada pengguna RAM tersebut.
Tambahkan kembali pengguna RAM tersebut ke kelompok pengguna yang diperlukan.
Jika akses API diperlukan, Anda dapat memulihkan pasangan AccessKey lama mereka dari tab AccessKey di Keranjang daur ulang atau membuat yang baru.
Minta pengguna RAM tersebut untuk mendaftarkan ulang perangkat MFA mereka.
Jika perlu, tambahkan kembali catatan, nomor telepon seluler, alamat email, dan tag pengguna RAM tersebut.
Lakukan purge permanen terhadap pengguna RAM dari keranjang daur ulang
Tindakan ini secara permanen dan tidak dapat dikembalikan menghapus pengguna RAM beserta semua informasinya.
Setelah pengguna RAM di-purge secara permanen, identitas dan kredensial pengguna tersebut tidak dapat dipulihkan.
Pengguna RAM di Keranjang daur ulang secara otomatis di-purge setelah 30 hari. Anda juga dapat menghapus pengguna secara manual untuk melakukan purge permanen sebelum periode retensi berakhir.
Di halaman Users, klik Recycle Bin di pojok kanan atas.
Di tab Users, klik Delete di kolom Actions untuk pengguna RAM yang dituju.
Di kotak dialog Delete Users from Recycle Bin, masukkan nama pengguna RAM dan klik Delete.