A identidade e o controle de acesso gerencie identidades de usuários na Alibaba Cloud de forma centralizada. Você pode usar as funcionalidades de identidade e controle de acesso da Alibaba Cloud para permitir que apenas usuários autenticados e autorizados acessem ou gerencie recursos específicos da Alibaba Cloud. Dessa forma, você evita o acesso malicioso por pessoas não autorizadas aos seus recursos da Alibaba Cloud, atendendo aos requisitos de conformidade e auditoria. Este tópico descreve as seguintes funcionalidades de segurança do Elastic Compute Service (ecs) em relação à identidade e ao controle de acesso: aumentar a segurança da autenticação, aprimorar a segurança do controle de acesso e reforçar a segurança das identidades e permissões.
-
Increase authentication security
Para aumentar a segurança da sua conta da Alibaba Cloud, recomendamos ative a autenticação multifator (MFA). Além disso, use o par de AccessKey de um usuário do Resource Access Management (RAM) para aplicativos, em vez do par de AccessKey da sua conta da Alibaba Cloud. Um par de AccessKey é composto por um AccessKey ID e um AccessKey secret. Não exponha esses pares em texto simples em plataformas de desenvolvimento externas. Limpe regularmente os usuários do RAM que permanecem ociosos por um longo período e utilize tokens temporários do Security Token Service (STS) com limite de tempo.
-
Improve the security of access control
Para conceder permissões a usuários com responsabilidades distintas, recomendamos o uso das políticas de RAM do sistema, predefinidas pelo ecs, e de políticas de RAM personalizadas. Você pode gerencie recursos usando grupos de recursos em diversas dimensões, como a utilização de recursos da Alibaba Cloud e a estrutura do departamento. Isso permite conceder acessos diferentes a usuários específicos para grupos de recursos variados. Além disso, é possível usar tags para gerencie os recursos da Alibaba Cloud de forma mais granular.
-
Bolster the security of identities and permissions
Recomendamos anexar funções do RAM às instâncias do ecs em vez de usar pares de AccessKey em texto simples. Também é aconselhável ative o ActionTrail para analisar o comportamento e a segurança após os eventos. Isso ajuda a identificar possíveis riscos de segurança e a atender aos requisitos de conformidade e auditoria .
Aumentar a segurança da autenticação
A autenticação é o processo que verifica a identidade de um usuário com base em credenciais. Na maioria dos casos, os usuários empregam senhas ou AccessKey secrets para autenticar suas identidades ao fazer login nas instâncias do ecs.
ative MFA
-
Introdução ao recurso
A MFA é um modelo de autenticação eficaz e fácil de usar. Esse recurso adiciona uma camada extra de proteção ao uso de nome de usuário e senha. A MFA verifica os usuários que iniciam o login no console ou realizam operações confidenciais, garantindo a segurança da sua conta da Alibaba Cloud. O uso da MFA não afeta as chamadas de operações de API realizadas via pares de AccessKey. Para obter mais informações, consulte What is multi-factor authentication?.
-
Método de configuração
Recomendamos não usar o par de AccessKey da sua conta da Alibaba Cloud para fazer login em uma instância do ecs. Em vez disso, ative a MFA para adicionar uma camada extra de proteção, além do uso de um nome de usuário e senha, para proteger sua conta da Alibaba Cloud. Após ative a MFA, o sistema solicitará um código de autenticação de um dispositivo MFA sempre que você fizer login em uma instância do ecs. Para obter mais informações, consulte Bind an MFA device to an Alibaba Cloud account.
Use usuários do RAM em vez de contas da Alibaba Cloud e anexe as políticas de RAM necessárias a eles
Certifique-se de conceder as permissões de acesso aos recursos do ecs para os usuários do RAM com base no princípio do menor privilégio. Não compartilhe contas nem conceda mais permissões do que o estritamente necessário.
Se você adquiriu várias instâncias do ecs e diversos usuários da sua organização (como funcionários, sistemas ou aplicativos) precisam usá-las, crie usuários do RAM para eles. Em seguida, anexe políticas de RAM para conceder as permissões de acesso às instâncias. Essa prática elimina o risco de vazamento de pares de AccessKey e permite um controle de acesso mais granular nos recursos do ecs em nível de conta. Para obter mais informações, consulte RAM users.
O RAM oferece os seguintes tipos de identidades para autenticação e autorização: usuários do RAM, que são identidades físicas, e funções do RAM, que são identidades virtuais. As identidades físicas precisam assumir as identidades virtuais para que entrem em vigor. Para obter mais informações, consulte Identities.
Prevenir o vazamento de pares de AccessKey
Os pares de AccessKey são credenciais de acesso a APIs para as contas da Alibaba Cloud e devem ser armazenados em um local seguro. Para evitar ameaças à segurança causadas por uso malicioso, não exponha seus pares de AccessKey de forma alguma, como no GitHub. Se o par de AccessKey de uma conta da Alibaba Cloud for divulgado, os recursos na conta estarão sujeitos a riscos. Consulte as seguintes sugestões de segurança para minimizar a possibilidade de vazamento de pares de AccessKey:
Não incorpore pares de AccessKey no código.
Alterne os pares de AccessKey regularmente.
Revogue regularmente os pares de AccessKey desnecessários.
Use usuários do RAM com base no princípio do menor privilégio.
Configure o parâmetro
acs:SourceIppara controlar o acesso de endereços IP públicos específicos às APIs da Alibaba Cloud.defina o parâmetro
acs:SecureTransportcomo true para especificar que os recursos e as funcionalidades sejam acessados via https.
Aprimorar a segurança do controle de acesso
Conceder permissões a usuários com diferentes responsabilidades
O RAM permite manter sua conta da Alibaba Cloud e o par de AccessKey estritamente confidenciais quando vários usuários da sua empresa gerencie recursos de forma colaborativa. Esse serviço também possibilita conceder aos usuários apenas as permissões mínimas necessárias, garantindo um alto nível de segurança.
Por padrão, uma conta da Alibaba Cloud tem todas as permissões sobre os recursos nela, enquanto os usuários do RAM criados por ela não possuem permissões. Portanto, a conta da Alibaba Cloud deve conceder as permissões aos usuários do RAM. Para conceder permissões a um usuário ou função do RAM, execute as etapas a seguir:
-
Selecione ou crie políticas.
O RAM suporta políticas personalizadas e do sistema. A Alibaba Cloud crie e mantém as políticas do sistema. Você pode usá-las, mas não é possível modifique-las. As políticas personalizadas são definidas pelo usuário. Você pode crie, atualize e exclua políticas personalizadas.
Para saber mais sobre as políticas do sistema para o ecs, consulte System policies for ecs.
Para verificar informações sobre políticas personalizadas para o ecs, consulte Custom policies for ecs.
-
Conceda permissões ao usuário ou função do RAM.
Anexe uma ou mais políticas de sistema ou personalizadas para conceder permissões a um usuário ou função do RAM em uma conta da Alibaba Cloud. Você pode conceder a eles acesso a todos os recursos na conta da Alibaba Cloud ou em um grupo de recursos específico dessa mesma conta.
Usar grupos de recursos para gerencie recursos de maneira granular
-
Introdução ao recurso
Os grupos de recursos permitem organizar seus recursos da Alibaba Cloud com base em diferentes critérios, como uso, permissões e proprietários. Você pode crie grupos de recursos para gerencie recursos de forma hierárquica entre vários usuários e projetos. Cada recurso de nuvem deve pertencer a apenas um grupo. A adição de recursos a grupos não altera as associações existentes entre eles. Por exemplo, você pode adicionar as instâncias usadas no ambiente de produção a um grupo de recursos chamado Production Environment e as instâncias usadas no ambiente de teste a um grupo de recursos chamado Test Environment. Para obter mais informações, consulte What is Resource Group?
-
Método de configuração
Para ver detalhes sobre como crie um grupo de recursos, consulte Create a resource group.
-
Adicione as instâncias do ecs aos grupos de recursos.
Adicione uma instância do ecs a um grupo de recursos ao crie-la. Para obter mais informações, consulte Create an instance on the Custom Launch tab.
Mova as instâncias existentes do ecs de um grupo de recursos para outro. Para obter mais informações, consulte Perform manual resource transfer across resource groups.
Para explorar casos de uso sobre como categorizar e gerencie recursos do ecs usando grupos de recursos, consulte Use a resource group to grant a RAM user the permissions to manage a specific ecs instance e Allocate the costs of ecs instances by resource group.
Usar tags para gerencie recursos de maneira granular
-
Introdução ao recurso
As tags permitem categorizar recursos em diversas dimensões, como região, departamento e ambiente, de forma mais flexível do que os grupos de recursos. Você pode adicionar várias tags a cada recurso e controlar o acesso aos recursos do ecs com base nelas. Para obter mais informações, consulte What is Tag?
-
Método de configuração
Para obter informações sobre como crie uma tag e adicioná-la a uma instância do ecs, consulte Tags.
Para casos de uso sobre como categorizar e gerencie recursos do ecs com tags, consulte Use tags to grant access to ecs instances by group e Use tags to enable RAM users to manage only authorized ecs instances.
Reforçar a segurança das identidades e permissões
Usar funções do RAM da instância em vez de pares de AccessKey
-
Introdução ao recurso
Na maioria dos casos, os aplicativos implantados nas instâncias do ecs acessam as APIs de outros serviços da Alibaba Cloud utilizando o par de AccessKey de uma conta da Alibaba Cloud ou de um usuário do RAM. Antes de usar um par de AccessKey em uma instância do ecs para chamar as operações de API, você deve configurá-lo na instância. Por exemplo, você pode gravar o par de AccessKey em um arquivo de configuração da instância. No entanto, essa prática concede aos usuários permissões além do necessário e pode causar problemas, como vazamento de informações e maior complexidade de manutenção. Para resolver essas questões, a Alibaba Cloud fornece funções do RAM da instância. Ao usá-las, você garante a segurança dos seus pares de AccessKey e utiliza o RAM para executar um controle de acesso e um gerenciamento de permissões granulares.
-
Método de configuração
Anexe uma função do RAM da instância a uma instância do ecs para obter um token do STS como uma credencial de acesso temporário. Em seguida, utilize essa credencial dentro da instância para acessar as APIs de outros serviços da Alibaba Cloud. Você pode obter credenciais de acesso temporárias apenas dentro de uma instância do ecs, sem a necessidade de fornecer um par de AccessKey. Isso garante a segurança do par de AccessKey da sua conta da Alibaba Cloud e permite realizar um controle de acesso e um gerenciamento de permissões granulares usando o RAM. Para obter mais informações, consulte Instance RAM roles.