Elastic Compute Service:Identidades

Usuários do RAM

Contas da Alibaba Cloud, bem como usuários e funções do RAM com direitos administrativos, podem criar usuários do RAM. Após receber as permissões necessárias, o usuário do RAM pode usar o Alibaba Cloud Management Console ou chamar operações de API para acessar os recursos da Alibaba Cloud na conta à qual pertence.

Recomendamos que você observe os seguintes itens:

• Use sua conta da Alibaba Cloud, crie um usuário do RAM e conceda direitos administrativos a ele. Em seguida, use esse usuário do RAM, crie e gerencie outros usuários do RAM.

• Separe os usuários do RAM destinados a indivíduos daqueles destinados a programas.

  Ao criar um usuário do RAM, selecione Console Access, Using permanent AccessKey to access ou ambos para o parâmetro Access Mode.

  Para acessar recursos, um usuário do RAM com acesso ao console faz login no Alibaba Cloud Management Console com nome de usuário e senha. Já um usuário com acesso por par de AccessKey faz chamadas de API. Separe os usuários do RAM destinados a indivíduos daqueles destinados a programas para evitar impactos de operações não intencionais. Ative a autenticação multifator (MFA) para o usuário do RAM designado para acesso ao console.

• Conceda permissões aos usuários do RAM com base no princípio do menor privilégio.

  As permissões de menor privilégio referem-se às permissões mínimas necessárias para executar uma operação. Essas permissões melhoram a segurança dos dados e evitam o abuso de permissões.

• Não incorpore seu AccessKey ID ou AccessKey secret no código para evitar o vazamento de um par de AccessKey. O vazamento de um par de AccessKey causa riscos de segurança para todos os recursos da sua conta. Use tokens do Security Token Service (STS) ou configure variáveis de ambiente para obter permissões de acesso.

• Se aplicável, ative o single sign-on (SSO) para os usuários do RAM para permitir que eles façam login e acessem os recursos da Alibaba Cloud a partir dos sistemas de gerenciamento de identidades de suas empresas.

Grupos de usuários do RAM

Se você usar sua conta da Alibaba Cloud para criar vários usuários do RAM, agrupe os usuários do RAM para facilitar o gerenciamento de permissões. Por exemplo, conceda as mesmas permissões aos usuários do RAM em um mesmo grupo. Recomendamos que você observe os seguintes itens:

• Conceda permissões aos grupos de usuários do RAM com base no princípio do menor privilégio.

• Remova um usuário do RAM do respectivo grupo caso as atribuições desse usuário mudem.

• Revogue as permissões dos grupos de usuários do RAM quando esses grupos não precisarem mais delas.

Funções do RAM

Uma função do RAM é um tipo de identidade do RAM com políticas associadas. Ao contrário de um usuário do RAM, a função não está vinculada a uma única pessoa ou aplicação — qualquer entidade confiável pode assumi-la. As funções não têm credenciais de longo prazo, como senhas ou pares de AccessKey. Quando uma entidade assume uma função, o Security Token Service (STS) gera credenciais de segurança temporárias, válidas apenas para aquela sessão.

Recomendamos que você observe os seguintes itens:

• Não altere com frequência a entidade confiável de uma função do RAM após sua criação. Alterar a entidade confiável pode causar perda de permissões e afetar seus negócios. Adicionar uma nova entidade confiável pode causar riscos de segurança devido à escalada de privilégios. Teste totalmente as alterações antes de aplicá-las a uma função do RAM.

• Após receber permissão, a entidade confiável pode chamar a operação AssumeRole para obter um token STS, que pode ser usado para assumir uma função do RAM. Para obter mais informações, consulte AssumeRole. Um token STS é válido apenas por um período limitado, portanto, defina um valor adequado para o período de validade para reduzir os riscos de segurança.

  Nota

  O período máximo de validade de um token STS é a duração máxima da sessão especificada para a função do RAM, portanto, defina um valor adequado para a duração máxima da sessão de uma função do RAM para reduzir os riscos de segurança.

• Se aplicável, ative o SSO para as funções do RAM para permitir que elas façam login e acessem os recursos da Alibaba Cloud a partir dos sistemas de gerenciamento de identidades de suas empresas.