Resource Management:Batasan pengguna root di Resource Directory

Deskripsi masalah

Pengguna root dari akun manajemen Resource Directory Anda tidak dapat masuk ke atau menghapus akun anggota, mengganti tipe akun anggota, atau mengikat nomor telepon keamanan. Tombol terkait di konsol dinonaktifkan.

Tombol Move juga dinonaktifkan. Jika diklik, tombol tersebut akan menampilkan pesan: "Harap gunakan Pengguna RAM dengan izin yang diperlukan untuk melakukan operasi ini."

Penyebab

Sesuai praktik terbaik Alibaba Cloud, prinsip hak istimewa minimal diterapkan untuk menjamin keamanan. Pengguna root adalah identitas Akun Alibaba Cloud. Secara default, pengguna root memiliki semua izin administratif atas resource dalam Akun Alibaba Cloud terkait. Menggunakan pengguna root untuk melakukan operasi dapat menimbulkan risiko keamanan yang sangat tinggi dan tidak sesuai dengan persyaratan keamanan. Dalam direktori sumber daya, hanya akun cloud yang memiliki pengguna root. Untuk menjamin keamanan, kami menyarankan agar Anda menonaktifkan pengguna root untuk semua akun cloud dalam direktori sumber daya Anda dan menggunakan RAM user untuk melakukan operasi terkait. Anda dapat memberikan izin kepada RAM user sesuai kebutuhan bisnis Anda.

Hanya RAM user dengan izin yang diperlukan yang dapat digunakan untuk melakukan operasi penting dalam direktori sumber daya karena alasan berikut:

• RAM user dapat diberikan izin berdasarkan prinsip hak istimewa minimal.

• Risiko keamanan akibat penyalahgunaan pengguna root dapat dicegah.

• Operasi yang dilakukan menggunakan RAM user dapat dicatat oleh sistem, sehingga memudahkan audit dan pelacakan.

Solusi

Anda dapat membuat RAM user untuk akun manajemen direktori sumber daya Anda, memberikan izin yang diperlukan kepada RAM user tersebut, lalu menggunakan RAM user itu untuk melakukan operasi.

1. Gunakan pengguna root akun manajemen untuk membuat RAM user.

   Masuk ke Konsol RAM menggunakan pengguna root akun manajemen, pilih Identities > Users, lalu klik Create User untuk membuat RAM user. Dalam topik ini, pilih Console Password Logon dan atur kata sandi logon konsol. Untuk informasi lebih lanjut, lihat Create a RAM user.

2. Gunakan pengguna root akun manajemen untuk memberikan izin kepada RAM user.

   Pada halaman Users, temukan RAM user yang dituju lalu klik Add Permissions di kolom Actions. Berikan kebijakan yang diperlukan. Untuk petunjuk lengkap, lihat Manage RAM user permissions.

   Tabel berikut mencantumkan kebijakan yang diperlukan dalam berbagai skenario.

   Skenario	Kebijakan
   Tidak dapat masuk ke Konsol Manajemen Alibaba Cloud menggunakan akun anggota	AliyunResourceDirectoryFullAccess, atau kebijakan kustom yang mencakup izin operasi minimum yang diperlukan AliyunSTSAssumeRoleAccess
   Tidak dapat menghapus akun anggota	AliyunResourceDirectoryFullAccess, atau kebijakan kustom yang mencakup izin operasi minimum yang diperlukan Catatan Jika fitur penghapusan anggota dinonaktifkan, tombol Delete juga akan redup. Oleh karena itu, Anda perlu mengaktifkan fitur penghapusan anggota. Untuk informasi lebih lanjut, lihat Enable the member deletion feature.
   Tidak dapat mengganti tipe akun anggota	AliyunResourceDirectoryFullAccess, atau kebijakan kustom yang mencakup izin operasi minimum yang diperlukan
   Tidak dapat mengikat nomor telepon seluler ke akun anggota untuk tujuan keamanan	AliyunResourceDirectoryFullAccess, atau kebijakan kustom yang mencakup izin operasi minimum yang diperlukan

   Catatan

   Kebijakan AliyunResourceDirectoryFullAccess mendefinisikan izin tertinggi atas direktori sumber daya. Jika Anda hanya ingin melakukan operasi tertentu sebagai RAM user, kami menyarankan agar Anda hanya memberikan izin yang benar-benar diperlukan untuk operasi tersebut. Untuk informasi tentang izin tersebut, lihat RAM authorization.

3. Masuk ke Konsol Manajemen Alibaba Cloud sebagai RAM user.

   Masuk ke Konsol Manajemen Alibaba Cloud menggunakan username dan kata sandi RAM user. Kemudian, buka Konsol Resource Management untuk melakukan operasi yang diperlukan.