Para proteger sua conta Alibaba Cloud e seus recursos de cloud, evite usar a conta principal para acessar o Cloud Shell, a menos que seja estritamente necessário. Em vez disso, utilize identidades do Resource Access Management (RAM), como usuários RAM e funções RAM.
Usuários RAM
Contas Alibaba Cloud ou usuários e funções RAM com privilégios administrativos podem criar usuários RAM. Após receber as permissões necessárias, o usuário RAM acessa os recursos da conta Alibaba Cloud à qual pertence pelo Alibaba Cloud Management Console ou por chamadas de API.
Recomendamos que você observe os seguintes itens:
Use sua conta Alibaba Cloud para criar um usuário RAM e conceder-lhe privilégios administrativos. Em seguida, use esse usuário RAM para criar e gerenciar os demais usuários.
-
Separe os usuários RAM destinados a pessoas daqueles criados para programas.
Ao criar um usuário RAM, selecione Console Access, Using permanent AccessKey to access ou ambas as opções no parâmetro Access Mode.
Usuários configurados para acesso ao console fazem login com nome de usuário e senha, enquanto usuários destinados a programas realizam chamadas de API com pares de AccessKey. Separe usuários humanos de usuários de sistema para evitar impactos de operações não intencionais. Além disso, ative a autenticação multifator (MFA) para usuários RAM destinados ao acesso via console.
-
Conceda permissões aos usuários RAM com base no princípio do menor privilégio.
Permissões de menor privilégio correspondem ao mínimo necessário para executar uma operação. Essa prática aumenta a segurança dos dados e previne o abuso de permissões.
Não incorpore seu AccessKey ID ou AccessKey secret no código para evitar vazamento do par de AccessKey. O vazamento compromete a segurança de todos os recursos da conta. Use tokens do Security Token Service (STS) ou configure variáveis de ambiente para obter permissões de acesso.
Se aplicável, ative o single sign-on (SSO) para usuários RAM permitirem login e acesso a recursos da Alibaba Cloud pelos sistemas de gerenciamento de identidade corporativa.
Operações relacionadas
Grupos de usuários RAM
Se você usar sua conta Alibaba Cloud para criar vários usuários RAM, agrupe-os para facilitar o gerenciamento de permissões. Por exemplo, conceda as mesmas permissões aos usuários RAM de um mesmo grupo. Recomendamos que você observe os seguintes itens:
Conceda permissões aos grupos de usuários RAM com base no princípio do menor privilégio.
Remova o usuário RAM do grupo se as funções de trabalho dele mudarem.
Revogue permissões dos grupos de usuários RAM quando eles não precisarem mais dessas permissões.
Operações relacionadas
Funções RAM
Uma função RAM é um tipo de identidade RAM com políticas anexadas. Diferentemente de um usuário RAM, uma função não está vinculada a uma pessoa ou aplicativo específico; qualquer entidade confiável pode assumi-la. Funções não têm credenciais de longo prazo, como senhas ou pares de AccessKey. Quando uma entidade assume uma função, o Security Token Service (STS) gera credenciais de segurança temporárias válidas apenas para essa sessão.
Recomendamos que você observe os seguintes itens:
Evite alterar frequentemente a entidade confiável de uma função RAM após a criação. A alteração da entidade confiável pode causar perda de permissão e afetar seus negócios. Adicionar uma entidade confiável pode gerar riscos de segurança devido ao escalonamento de privilégios. Teste totalmente as alterações antes de aplicá-las a uma função RAM.
-
Após receber permissão, a entidade confiável pode chamar a operação AssumeRole para obter um token STS e assumir uma função RAM. Para obter mais informações, consulte AssumeRole. Um token STS é válido apenas por um período limitado. Defina o período de validade como um valor apropriado para reduzir riscos de segurança.
NotaA validade máxima de um token STS corresponde à duração máxima da sessão especificada para a função RAM. Defina a duração máxima da sessão de uma função RAM como um valor apropriado para reduzir riscos de segurança.
Se aplicável, ative o SSO para funções RAM permitirem login e acesso a recursos da Alibaba Cloud pelos sistemas de gerenciamento de identidade corporativa.