Para manter a segurança dos seus ativos na nuvem, recomendamos fortemente o uso de um usuário do Resource Access Management (RAM) para operações e gerenciamento diários, em vez de utilizar diretamente sua conta Alibaba Cloud. A conta principal é proprietária de todos os ativos e possui as permissões mais elevadas. Este tópico descreve como usar sua conta Alibaba Cloud para criar um usuário do RAM com permissões de administrador, além de concluir o primeiro logon e as configurações de segurança. Ao terminar este guia, saia da sua conta Alibaba Cloud e utilize sempre esse administrador do RAM para gerenciar recursos na nuvem no dia a dia.
Por que usar um usuário do RAM em vez de uma conta Alibaba Cloud
A tabela a seguir compara uma conta Alibaba Cloud com um usuário do RAM.
|
Item |
Conta Alibaba Cloud |
Usuário do RAM |
|
Função de identidade |
Proprietária de todos os recursos. Possui propriedade total e as permissões mais elevadas. |
Usuário de recursos e serviços. A conta Alibaba Cloud concede as permissões. Geralmente corresponde a uma pessoa ou aplicação específica. |
|
Propriedade de recursos na nuvem |
Sim |
Não. Os recursos pertencem à conta Alibaba Cloud. |
|
Permissões padrão |
Permissões totais. Não podem ser restringidas. |
Sem permissões por padrão. A conta Alibaba Cloud deve concedê-las. |
|
Uso recomendado |
Apenas operações críticas de gerenciamento: autorização, pagamento e gestão da conta. |
Desenvolvimento diário, Operações e Manutenção (O&M), implantação e outras tarefas. |
Para obter mais informações sobre o RAM, consulte What is Resource Access Management?
Os usuários do RAM não podem visualizar dados da conta Alibaba Cloud nem gerenciar quaisquer configurações no Account Center.
Melhores práticas de segurança da conta
Crie um usuário do RAM com permissões de administrador dedicado ao gerenciamento diário e às operações técnicas.
Utilize sua conta Alibaba Cloud apenas quando necessário e armazene com segurança sua senha, MFA e outras credenciais.
Execute todas as operações diárias com o usuário administrador do RAM para evitar expor sua conta Alibaba Cloud em ambientes cotidianos.
Criar um usuário do RAM com permissões de administrador
As etapas a seguir descrevem como usar sua conta Alibaba Cloud para fazer logon no console do RAM e criar um usuário do RAM como administrador da conta. Escolha um dos métodos abaixo.
Criação rápida (recomendada)
Faça logon no console do RAM com sua conta Alibaba Cloud. Na página Overview, clique em na aba Quick Start e, em Initial users, clique em Account Administrator.
Revise a configuração do Account Administrator e clique em Perform. Por padrão, esse administrador da conta tem o acesso ao console ativado e a política de sistema AdministratorAccess anexada. Essa política concede permissões para gerenciar todos os recursos da Alibaba Cloud.
Após concluir a configuração, salve o nome de usuário do RAM e a senha de logon deste administrador da conta (use Copy ou Download).
Depois de criar o administrador da conta, modifique sua configuração no menu correspondente do console do RAM.
Criação manual
Etapa 1: Criar o usuário do RAM
Faça logon no console do RAM com sua conta Alibaba Cloud. No painel de navegação à esquerda, escolha Identities > Users e clique em Create User.
-
Insira as informações do usuário.
Campo
Descrição
Logon Name
Insira um nome para o administrador, como
administrator.Display Name
Defina um alias para facilitar a identificação, como
Administrator.Access Mode
Selecione um modo de acesso. Caso escolha OpenAPI Access, siga as instruções em best practices for using access credentials.
Multi-Factor Authentication (MFA)
Escolha a opção desejada para Enable MFA. Consulte Attach an MFA device to a RAM user.
Na página Create User, defina as seguintes configurações:
Logon Name: insira
administratorDisplay Name: insira
administratorAccess Mode: selecione Console Access
Password: selecione Automatically generate a password
Password Reset on Next Logon: selecione The user must reset the password at the next logon
Multi-Factor Authentication (MFA): selecione MFA is required
Siga as instruções na tela para concluir a autenticação de segurança.
Etapa 2: Conceder permissões de administrador
Na página Users, localize o usuário do RAM criado e clique em Add Permissions na coluna Actions.
No painel Grant Permission, anexe a política de sistema AdministratorAccess ao usuário do RAM. Essa política concede permissões para gerenciar todos os recursos da Alibaba Cloud.
Fazer logon com o usuário do RAM
Saia da sua conta Alibaba Cloud imediatamente.
Faça logon com o usuário do RAM. Acesse a página de logon do usuário do RAM. Insira o Username do RAM, clique em Next, insira a Password do RAM e clique em Log On.
Vincule um dispositivo MFA. Se o MFA foi ativado durante a criação do usuário, o sistema solicitará a vinculação de um dispositivo MFA, que atua como uma segunda camada de proteção para sua conta de administrador. Siga as instruções na tela para concluir a vinculação. Consulte Attach an MFA device to a RAM user.
Verificação e próximas etapas
Após fazer logon com sucesso e concluir as configurações de segurança, tente acessar um console, como ECS ou OSS, para verificar se as permissões de administrador entraram em vigor.
A partir de agora, execute todas as tarefas diárias de gerenciamento de recursos na nuvem, desenvolvimento e O&M com este usuário administrador do RAM. Mantenha as credenciais da sua conta Alibaba Cloud seguras e utilize-as apenas para gerenciamento da conta, pagamentos ou operações específicas no nível da conta.
Perguntas frequentes
Qual é a principal diferença entre uma conta Alibaba Cloud e um usuário do RAM?
A diferença fundamental reside na origem e no gerenciamento das permissões. Uma conta Alibaba Cloud possui permissões máximas e intrínsecas, que nenhuma outra conta pode revogar ou restringir. Já as permissões de um usuário do RAM são concedidas pela conta Alibaba Cloud e podem ser modificadas, revogadas ou desativadas a qualquer momento.
Essa separação limita sua exposição caso as credenciais sejam comprometidas. Se as credenciais de um administrador do RAM vazarem, faça logon com sua conta Alibaba Cloud para excluir ou desativar esse usuário do RAM imediatamente. Se a própria conta Alibaba Cloud for comprometida, todos os recursos e permissões estarão em risco — motivo pelo qual ela deve ser protegida com extremo cuidado.
Certas operações de alto nível — incluindo verificação de identidade, modificação de informações da conta e encerramento da conta — ainda exigem a conta Alibaba Cloud. Os usuários do RAM não possuem permissões para executar essas operações.