Sua conta Alibaba Cloud tem permissões irrestritas e nenhuma política pode limitá-la. Para reduzir a exposição em caso de comprometimento de credenciais, crie um usuário RAM com permissões de administrador e use-o em todas as operações diárias.
Por que usar um usuário RAM em vez da conta Alibaba Cloud
A tabela a seguir compara uma conta Alibaba Cloud com um usuário RAM.
|
Item |
Conta Alibaba Cloud |
Usuário RAM |
|
Função de identidade |
Proprietária de todos os recursos. Tem posse total e as permissões mais elevadas. |
Usuário de recursos e serviços. A conta Alibaba Cloud concede as permissões. Geralmente corresponde a uma pessoa ou aplicação específica. |
|
Possui recursos de nuvem |
Sim |
Não. Os recursos pertencem à conta Alibaba Cloud. |
|
Permissões padrão |
Permissões totais. Nenhuma restrição se aplica. |
Sem permissões por padrão. A conta Alibaba Cloud deve concedê-las. |
|
Uso recomendado |
Apenas operações críticas de gerenciamento: autorização, pagamento e gestão da conta. |
Desenvolvimento diário, Operações e Manutenção (O&M), implantação e outras tarefas. |
Para obter mais informações sobre o RAM, consulte O que é Resource Access Management?
Quando ainda é necessário usar sua conta Alibaba Cloud
As operações abaixo exigem sua conta Alibaba Cloud. Usuários RAM não podem executá-las:
Alterar o endereço de e-mail, a senha ou o número de telefone celular da conta
Concluir a verificação de nome real ou a verificação de identidade
Encerrar a conta
Excluir ou desativar um usuário RAM cujas credenciais foram comprometidas
Para todas as outras tarefas diárias — gerenciamento de recursos, desenvolvimento, O&M e implantação — use o usuário administrador do RAM criado nesta etapa.
Melhores práticas de segurança da conta
Crie um usuário RAM com privilégios de administrador para todas as operações técnicas e de gerenciamento diário.
Use sua conta Alibaba Cloud apenas quando as operações acima exigirem. Armazene com segurança a senha e as credenciais de autenticação multifator (MFA) dessa conta e não as compartilhe.
Execute todas as operações diárias com o usuário administrador do RAM para evitar expor sua conta Alibaba Cloud nos ambientes de trabalho do dia a dia.
Se as credenciais de um administrador RAM forem comprometidas, faça logon com sua conta Alibaba Cloud para excluir ou desativar esse usuário RAM imediatamente.
Os usuários RAM não podem visualizar dados da conta Alibaba Cloud nem gerenciar quaisquer configurações no Account Center.
Criar um usuário RAM com permissões de administrador
Usuários RAM não têm permissão para executar estas operações.
Escolha um dos métodos a seguir.
Criação rápida (recomendada)
-
Faça logon no RAM console com sua conta Alibaba Cloud. Na página Overview, clique na aba Quick Start e, em Initial users, clique em Account Administrator.
-
Revise a configuração do Account Administrator e clique em Perform. Por padrão, este administrador de conta tem o acesso ao console ativado e a política de sistema AdministratorAccess anexada. Essa política concede permissões para gerenciar todos os recursos da Alibaba Cloud.
Após concluir a configuração, salve o nome de usuário RAM e a senha de logon deste administrador de conta (Copy ou Download).
Depois de criar o administrador da conta, modifique sua configuração no menu correspondente do RAM console.
Criação manual
Etapa 1: Criar o usuário RAM
-
Faça logon no RAM console com sua conta Alibaba Cloud. No painel de navegação à esquerda, escolha Identities > Users e clique em Create User.
-
Insira as informações do usuário.
Campo
Descrição
Logon Name
Insira um nome para o administrador, como
administrator.Display Name
Defina um alias para facilitar a identificação, como
Administrator.Access Mode
Selecione um modo de acesso. Se você selecionar OpenAPI Access, siga as melhores práticas para uso de credenciais de acesso.
Multi-Factor Authentication (MFA)
Escolha a opção desejada para Enable MFA. Consulte Anexar um dispositivo MFA a um usuário RAM.
Siga as instruções na tela para concluir a autenticação de segurança.
Etapa 2: Ativar o MFA
Recomendamos fortemente ativar a autenticação multifator (MFA) para o usuário administrador do RAM. O MFA adiciona uma segunda camada de segurança ao exigir um código de uso único além da senha.
Selecione a opção necessária para Enable MFA durante a criação do usuário ou configure-a posteriormente. Para obter instruções, consulte Anexar um dispositivo MFA a um usuário RAM.
Etapa 3: Conceder permissões de administrador
-
Na página Users, localize o usuário RAM criado e clique em Add Permissions na coluna Actions.
-
No painel Grant Permission, anexe a política de sistema AdministratorAccess ao usuário RAM. Essa política concede permissões para gerenciar todos os recursos da Alibaba Cloud.
Fazer logon com o usuário RAM
Saia da sua conta Alibaba Cloud imediatamente.
Faça logon com o usuário RAM. Acesse a página de logon do usuário RAM. Insira o Username do RAM, clique em Next, insira a Password do RAM e clique em Log On.
A partir de agora, use este usuário administrador do RAM para todas as tarefas diárias, incluindo gerenciamento de recursos em nuvem, desenvolvimento e O&M.
Perguntas frequentes
Qual é a principal diferença entre uma conta Alibaba Cloud e um usuário RAM?
A diferença primordial está na origem e no gerenciamento das permissões. Uma conta Alibaba Cloud possui permissões supremas e integradas que nenhuma outra conta pode revogar ou restringir. A conta Alibaba Cloud concede as permissões de um usuário RAM, e elas podem ser modificadas, revogadas ou desativadas a qualquer momento.
Essa separação limita sua exposição caso as credenciais sejam comprometidas. Se as credenciais de um administrador RAM vazarem, faça logon com sua conta Alibaba Cloud para excluir ou desativar esse usuário RAM imediatamente. Se a própria conta Alibaba Cloud for comprometida, todos os recursos e permissões estarão em risco — motivo pelo qual ela deve ser protegida com extremo cuidado.
Certas operações de alto nível — incluindo verificação de identidade, modificação de informações da conta e encerramento da conta — ainda exigem a conta Alibaba Cloud. Usuários RAM não possuem permissões para essas operações.