Uma identidade identifica exclusivamente um usuário em um sistema. O sistema determina as permissões do usuário com base nessa identidade. A Alibaba Cloud oferece suporte aos seguintes tipos de identidades: conta Alibaba Cloud, usuário do Resource Access Management (RAM) e função RAM.
Conta Alibaba Cloud
A conta Alibaba Cloud é a entidade básica que define a propriedade dos recursos da Alibaba Cloud, além da medição e do faturamento de seu uso. Essa conta recebe a cobrança pelo uso de todos os recursos vinculados a ela e tem permissões totais sobre esses recursos. Exceto em cenários que exigem obrigatoriamente uma conta Alibaba Cloud, utilize um usuário RAM ou uma função RAM para fazer login no Alibaba Cloud Management Console e chamar operações de API.
Usuário RAM
Um usuário RAM é uma identidade física com ID fixo e credenciais que representa uma pessoa ou um aplicativo. Principais características:
Uma conta Alibaba Cloud pode criar um usuário RAM, assim como um usuário RAM ou uma função RAM com direitos administrativos. Em ambos os casos, o usuário RAM criado pertence à conta Alibaba Cloud do criador.
O usuário RAM não possui recursos. Todas as taxas de uso são faturadas na conta Alibaba Cloud pai. Usuários RAM não recebem faturas nem efetuam pagamentos.
Autorize os usuários RAM antes que eles façam login no console ou chamem operações de API. Após a autorização, eles acessam os recursos pertencentes à conta Alibaba Cloud pai.
Usuários RAM possuem senhas independentes ou pares de AccessKey para login.
Uma conta Alibaba Cloud pode criar vários usuários RAM para representar funcionários, sistemas e aplicativos.
Para obter mais informações, consulte Visão geral.
Sugestões
Crie um usuário RAM separado para cada desenvolvedor
Crie múltiplos usuários RAM para diferentes desenvolvedores com base em regiões, serviços, ambientes de desenvolvimento e organizações. A vantagem dessa separação granular é que diferentes usuários RAM têm limites claros de responsabilidade empresarial, o que facilita a identificação e a análise de operações.
Desvantagens de compartilhar um usuário RAM:
Se ocorrer uma operação anormal, será possível determinar qual usuário RAM a executou. No entanto, torna-se praticamente impossível identificar a organização ou o indivíduo específico responsável, pois o usuário RAM é compartilhado por várias entidades.
Caso o par de AccessKey de um usuário RAM vaze, desative-o imediatamente. Se o usuário RAM for compartilhado por vários desenvolvedores e o par de AccessKey estiver codificado diretamente nos aplicativos, não será possível desativá-lo até removê-lo de todo o código. Isso representa ameaças críticas ao sistema.
Separe usuários de console de usuários de API
Não crie simultaneamente uma senha de login para operações no console e um par de AccessKey para operações de API para o mesmo usuário RAM. Essa prática evita que seus negócios sejam afetados por erros operacionais dos usuários RAM.
Recomendações:
Para permitir que um aplicativo acesse recursos chamando operações de API, solicite apenas um par de AccessKey para o usuário RAM desse aplicativo.
Para permitir que um funcionário gerencie recursos no console, defina apenas uma senha de login para o usuário RAM desse funcionário.
Função RAM
Por exemplo, a Conta Alibaba Cloud A cria a função RAM a_rr1, concede a permissão FullAccess no Object Storage Service (OSS) para essa função RAM e, em seguida, atribui a função RAM ao usuário RAM b_ru1 da Conta Alibaba Cloud B. Dessa forma, os desenvolvedores podem fazer login no console como o usuário RAM b_ru1 e gerenciar os recursos OSS da Conta A assumindo a função RAM a_rr1.