Allow only HTTPS access to ECS OpenAPI - Elastic Compute Service: Central de Documentação do Alibaba Cloud

Riscos de segurança

O HTTP transmite as requisições da OpenAPI do ecs em texto simples. Qualquer nó intermediário, como roteadores, switches ou operadoras de rede, pode ler todo o conteúdo. Isso expõe o sistema aos seguintes riscos de segurança:

Violação de credenciais e dados: as requisições de api contêm credenciais de identidade (AccessKey), IDs de instância e dados de disco. Via HTTP, essas informações ficam expostas em texto simples. Um invasor pode interceptá-las por meio de sniffing de rede, resultando no comprometimento da conta.
Ataque man-in-the-middle (MitM): um invasor pode escutar e se passar por você e pelo servidor da alibaba cloud para adulterar a comunicação. Por exemplo, ele pode substituir sua requisição de criação de instância por uma instrução maliciosa para que exclua uma instância principal do negócio ou injetar dados falsos na resposta.
Falsificação de identidade e phishing: o HTTP não verifique a autenticidade do servidor. Um invasor pode forjar um registro dns ou configurar um servidor falso para redirecionar suas requisições de api e roubar suas credenciais.

Melhores práticas

O SDK ative a validação de certificados ssl/tls por padrão. Se o seu ambiente não tiver os certificados necessários, ocorrerá um erro de validação.

Para garantir a segurança da comunicação, defina IgnoreSSL = false para que ative a validação de certificados.

Linguagem	V 2.0	V 1.0
Java	HTTPS request configuration	HTTPS request configuration
Python	Configure HTTPS and TLS settings in the SDK	HTTPS configuration
PHP	HTTPS request configuration	HTTPS request configuration
Node.js/TypeScript	HTTPS request configuration
.NET	HTTPS request configuration	HTTPS request configuration
Go	Configure HTTPS and TLS settings in the SDK	SSL validation

Conformidade

Bloquear requisições da OpenAPI do ecs sem HTTPS

Use uma política do RAM no nível da organização ou da conta para bloquear requisições da OpenAPI do ecs que não usem HTTPS.

Para usuários corporativos:
1. Faça login no console do Resource Directory com sua conta da alibaba cloud. No painel de navegação à esquerda, clique em Control Policies. Create a custom policy com o seguinte conteúdo JSON:
```
{
  "Statement": [
    {
      "Action": "ecs:*",
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "Bool": {
          "acs:SecureTransport": "true"
        }
      }
    }
  ],
  "Version": "1"
}
```
2. No console do Resource Directory, selecione a pasta de destino e anexe a política. Isso bloqueia requisições sem HTTPS das contas na pasta.
Para usuários não corporativos:
1. Faça login no console do RAM com sua conta da alibaba cloud. No painel de navegação à esquerda, clique em Permission Policy e crie uma política personalizada com o mesmo conteúdo.
2. Anexe a política a um usuário do RAM, grupo de usuários do RAM ou função do RAM. Consulte gerencie policy grants.