Resource Access Management:Buat AccessKey

Apa itu AccessKey?

Pasangan AccessKey adalah kredensial keamanan jangka panjang yang dikeluarkan oleh Alibaba Cloud untuk akses programatik. Pasangan ini terdiri dari ID AccessKey dan Rahasia AccessKey.

• AccessKey ID: Pengidentifikasi unik publik untuk pasangan AccessKey.

• AccessKey secret: Kunci privat yang digunakan untuk menandatangani permintaan programatik. Signature ini memverifikasi keaslian dan integritas permintaan. Anda harus menjaga kerahasiaan AccessKey secret Anda secara ketat.

Jenis AccessKey

Pasangan AccessKey dikategorikan berdasarkan pemiliknya:

• Pasangan AccessKey Akun Alibaba Cloud (Tidak disarankan)

  Jenis ini dibuat oleh pemilik Akun Alibaba Cloud. Secara default, jenis ini memiliki izin penuh untuk semua operasi dan resource dalam akun tersebut. Jika dikompromikan, risiko keamanannya sangat tinggi. Jangan membuat atau menggunakan pasangan AccessKey untuk Akun Alibaba Cloud Anda.

• Pasangan Kunci Akses Pengguna RAM (Disarankan)

  Jenis ini dimiliki oleh Pengguna RAM dan mewarisi izin pengguna tersebut, sehingga memungkinkan akses berbasis prinsip least-privilege. Buat Pengguna RAM sebelum membuat pasangan AccessKey untuknya. Tetapkan Pengguna RAM dan pasangan AccessKey unik untuk setiap aplikasi guna mencegah izin berlebihan dan mengurangi risiko kompromi akibat berbagi kredensial.

Izin yang diperlukan

Hindari penggunaan Akun Alibaba Cloud untuk membuat pasangan AccessKey karena memiliki izin berlebihan. Sebagai gantinya, gunakan Pengguna RAM dengan izin yang diperlukan untuk membuat dan mengelola pasangan AccessKey bagi Pengguna RAM lainnya.

• Anda dapat menyambungkan kebijakan sistem AliyunRAMFullAccess (administrator RAM) ke administrator agar mereka dapat membuat dan mengelola pasangan AccessKey untuk Pengguna RAM.

• Anda juga dapat mengaktifkan Allow users to manage AccessKey di pengaturan keamanan global RAM agar pengguna dapat mengelola pasangan AccessKey mereka sendiri. Kelola pengaturan keamanan untuk Pengguna RAM.

  Catatan

  Mengaktifkan pengaturan ini memungkinkan semua Pengguna RAM untuk mengelola pasangan AccessKey mereka sendiri, termasuk operasi seperti membuat, menonaktifkan, dan menghapus, kecuali administrator menyambungkan kebijakan yang secara eksplisit melarang tindakan tersebut.

  Jangan aktifkan pengaturan ini di lingkungan produksi. Untuk memberikan izin kepada pengguna tertentu agar dapat mengelola pasangan AccessKey-nya sendiri, gunakan kebijakan kustom dan batasi Resource hanya untuk pengguna tersebut. Contoh kebijakan:

  Izinkan pembuatan self-service

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Izinkan manajemen self-service

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Buat AccessKey Pengguna RAM

Lakukan langkah-langkah berikut sebagai administrator RAM (dengan kebijakan AliyunRAMFullAccess). Jika Anda belum memiliki Pengguna RAM, buat terlebih dahulu.

Buat AccessKey Akun Alibaba Cloud (Tidak disarankan)

1. Masuk ke Alibaba Cloud Console menggunakan Akun Alibaba Cloud Anda.

2. Arahkan kursor ke ikon profil di pojok kanan atas dan klik AccessKey.

   

3. Pada kotak dialog Cloud Account AccessKey Pair Not Recommended, baca risiko terkait pembuatan pasangan AccessKey untuk Akun Alibaba Cloud Anda. Untuk melanjutkan, centang I am aware of the security risks of using a main account AccessKey., lalu klik Use Cloud Account AccessKey.

   

4. Pada halaman AccessKey, klik Create AccessKey.

   

   Catatan

   Akun Alibaba Cloud dapat memiliki maksimal dua pasangan AccessKey. Satu digunakan secara aktif, dan yang lainnya dapat dibuat untuk rotasi guna menggantikan yang lama.

5. Pada kotak dialog Create Main Account AccessKey, baca kembali risiko dan batasan yang berlaku. Jika Anda yakin ingin membuat pasangan AccessKey untuk Akun Alibaba Cloud Anda, centang I am aware of the security risks of using a main account AccessKey., lalu klik Use Cloud Account AccessKey.

   

6. Pada kotak dialog Create AccessKey, simpan ID AccessKey dan Rahasia AccessKey, centang I have saved the AccessKey Secret, lalu klik OK.

   Konfigurasikan kebijakan kontrol akses jaringan untuk pasangan AccessKey (Direkomendasikan): Batasi alamat IP sumber untuk permintaan OpenAPI agar panggilan hanya berasal dari jaringan tepercaya. Klik Configure network access policy untuk menetapkan pembatasan. Konfigurasikan kebijakan kontrol akses jaringan tingkat AccessKey untuk Akun Alibaba Cloud.

   

   Penting

   Untuk mengurangi risiko kompromi, Rahasia AccessKey untuk Akun Alibaba Cloud hanya ditampilkan saat Anda membuatnya. Anda tidak dapat mengambilnya kembali di kemudian hari. Pastikan untuk menyimpannya dengan aman.