Evite acessar o Data Management (DMS) e o Data Disaster Recovery diretamente com sua conta Alibaba Cloud. Em vez disso, use usuários RAM ou funções RAM. Essa prática limita o impacto de operações acidentais ou não autorizadas e permite aplicar controle de acesso granular em toda a equipe.
Escolha um tipo de identidade
O RAM oferece três primitivas de identidade. Consulte a tabela abaixo para decidir qual se adequa à sua situação.
|
Tipo de identidade |
Definição |
Mais indicado para |
|
Usuário RAM |
Identidade nomeada com credenciais permanentes — seja um par usuário/senha ou um par AccessKey |
Membros individuais da equipe (acesso ao console) e processos de aplicação (acesso à API) |
|
Grupo de usuários RAM |
Conjunto de usuários RAM que compartilham as mesmas políticas de permissão |
Gerenciar permissões de equipes ou funções de trabalho em escala |
|
Função RAM |
Identidade virtual sem credenciais permanentes; concede acesso temporário por meio de tokens do Security Token Service (STS) |
Acesso entre contas, cargas de trabalho automatizadas e cenários de identidade federada |
Usuários RAM
Uma conta Alibaba Cloud, ou qualquer usuário ou função RAM com permissões de administrador, pode criar um usuário RAM. Após receber as políticas apropriadas, esse usuário poderá fazer login no Alibaba Cloud Management Console ou chamar operações de API em recursos dessa conta.
Separe usuários humanos de contas de serviço
Ao criar um usuário RAM, defina o parâmetro Access Mode como uma das opções a seguir:
|
Modo de acesso |
Tipo de credencial |
Finalidade |
|
Console Access |
Nome de usuário e senha |
Membros humanos da equipe que fazem login interativamente |
|
Using permanent AccessKey to access |
Par AccessKey |
Aplicações e processos automatizados que chamam APIs |
É possível combinar ambos os modos em um único usuário RAM, mas isso gera riscos desnecessários. Mantenha usuários humanos e contas de serviço separados para evitar que uma credencial de aplicação comprometida permita fazer login no console, e vice-versa.
Lista de verificação de segurança para usuários RAM
Adote estas práticas para reduzir sua exposição:
Comece com um usuário RAM administrador. Use sua conta Alibaba Cloud para criar um usuário RAM com permissões de administrador e, em seguida, utilize-o para criar e gerenciar todos os demais usuários RAM.
Ative a autenticação multifator (MFA) para usuários do console. Recomendamos ativar o MFA para todo usuário RAM com acesso ao console, especialmente aqueles com permissões elevadas.
Aplique o princípio do menor privilégio. Conceda apenas as permissões necessárias para uma tarefa específica. Evite anexar políticas amplas, como
AdministratorAccess, a usuários comuns. Para políticas específicas do DMS, consulte Políticas personalizadas do DMS.Nunca incorpore credenciais no código. Inserir um AccessKey ID ou AccessKey secret diretamente no source code arrisca expô-los por meio de controle de versão ou arquivos de log. Utilize tokens STS ou variáveis de ambiente como alternativa.
Ative o single sign-on (SSO) se sua organização já possui um provedor de identidade. O SSO permite que usuários RAM se autentiquem pelo sistema de identidade corporativo, eliminando a necessidade de gerenciar senhas separadas na Alibaba Cloud. Consulte Visão geral do SSO baseado em usuário para detalhes de configuração.
Tópicos relacionados: Visão geral dos usuários RAM e Soluções de segurança de credenciais
Grupos de usuários RAM
Agrupe usuários RAM por função de trabalho para gerenciar permissões no nível do grupo, em vez de configurar cada usuário individualmente. Por exemplo, um grupo para sua equipe de DBAs pode conter a política de escrita no banco de dados, enquanto um grupo de análise somente leitura recebe uma política mais restritiva. Quando alguém ingressar na equipe, basta adicioná-lo ao grupo correto — sem necessidade de alterar políticas por usuário.
O exemplo a seguir mostra como projetar grupos para uma equipe de DMS:
|
Grupo |
Membros típicos |
Escopo da política |
|
Administradores do DMS |
DBAs seniores, proprietários de plataforma |
Permissões completas de gerenciamento do DMS |
|
Leitura e escrita do DMS |
Desenvolvedores de aplicações |
Acesso de leitura e escrita a bancos de dados específicos |
|
Somente leitura do DMS |
Analistas, auditores |
Acesso somente leitura a bancos de dados específicos |
Gerenciamento de permissões de grupo
Conceda permissões ao grupo, e não aos usuários individuais dentro dele, para manter o conjunto de permissões consistente.
Quando um membro da equipe mudar de função, remova-o do grupo atual e adicione-o ao grupo apropriado antes do último dia na função anterior.
Revogue as permissões de um grupo assim que deixarem de ser necessárias.
Tópicos relacionados: Visão geral de um grupo de usuários RAM
Funções RAM
Uma função RAM é uma identidade virtual sem credenciais permanentes — ela não possui senha de login nem par AccessKey. Para utilizar uma função RAM, uma entidade confiável precisa assumi-la. Após assumir a função, a entidade confiável recebe um token STS, que concede acesso aos recursos da Alibaba Cloud como essa função por um período limitado.
Esse mecanismo torna as funções RAM adequadas para:
Cargas de trabalho automatizadas — um serviço ou pipeline que precisa de acesso temporário sem armazenar credenciais de longa duração.
Acesso entre contas — conceder a uma entidade em outra conta Alibaba Cloud acesso controlado a recursos na sua conta.
Acesso federado — permitir que usuários autenticados por um provedor de identidade externo assumam uma função RAM e acessem recursos da Alibaba Cloud.
Lista de verificação de segurança para funções RAM
Defina a entidade confiável no momento da criação. Alterar a entidade confiável de uma função RAM posteriormente pode causar perda de permissões ou escalonamento indevido de privilégios. Decida qual será a entidade confiável antes de criar a função, teste-a exaustivamente e evite modificá-la em produção.
-
Configure um período de validade adequado para o token STS. Um token STS tem validade máxima igual à duração máxima da sessão configurada na função RAM. Defina ambos os valores tão curtos quanto sua carga de trabalho permitir, reduzindo a janela de exposição caso um token seja comprometido.
Para assumir uma função RAM, a entidade confiável chama a operação de API AssumeRole e recebe um token STS temporário.
Ative o SSO para funções RAM se sua organização utiliza um sistema de identidade federada. Isso permite que os funcionários façam login pelo provedor de identidade corporativo e assumam funções RAM diretamente, sem gerenciar identidades separadas na Alibaba Cloud. Consulte SSO baseado em função para mais detalhes.
Tópicos relacionados: Visão geral de funções RAM, Assumir uma função RAM e Especificar a duração máxima da sessão para uma função RAM