Evite usar sua conta Alibaba Cloud diretamente para acessar cloud service, a menos que seja estritamente necessário. Em vez disso, utilize usuários do Resource Access Management (RAM) ou funções do RAM para o acesso no dia a dia.
Usuário RAM
As contas Alibaba Cloud, ou usuários e funções RAM com permissões de administrador, criam os usuários RAM. Após a autorização, um usuário RAM pode fazer login no console ou chamar operações de API para acessar recursos na conta Alibaba Cloud principal.
Melhores práticas:
crie um usuário RAM com permissões de administrador e, com ele, crie e gerencie os demais usuários RAM.
-
Separe os usuários RAM destinados a pessoas físicas dos usuários RAM destinados a programas.
crie usuários RAM no RAM console ou by calling an API operation. O console exige as credenciais da sua conta Alibaba Cloud, enquanto a API exige um par de AccessKey. Separar usuários RAM humanos e programáticos evita operações acidentais. ative o MFA para usuários RAM baseados no console.
-
Conceda permissões de privilégio mínimo aos usuários RAM.
Conceda apenas as permissões mínimas necessárias para cada operação, melhorando a segurança dos dados e evitando o abuso de permissões.
Nunca incorpore pares de AccessKey no código. Um par de AccessKey vazado expõe todos os recursos da sua conta. Em vez disso, use tokens STS ou variáveis de ambiente.
ative o SSO para usuários RAM, permitindo que eles acessem o console Alibaba Cloud por meio dos sistemas de identidade corporativa.
Operações relacionadas
Grupo de usuários RAM
Agrupar usuários RAM simplifica o gerenciamento de permissões. Você pode conceder as mesmas permissões a todos os membros de um grupo de usuários RAM. Melhores práticas:
Conceda permissões de privilégio mínimo aos grupos de usuários RAM.
Remova um usuário RAM de um grupo quando as funções dele mudarem.
Revogue permissões desnecessárias de um grupo de usuários RAM.
Operações relacionadas
Função RAM
Uma função RAM é um tipo de identidade RAM com políticas anexadas. Diferente de um usuário RAM, uma função não está vinculada a uma única pessoa ou aplicação — qualquer principal confiável pode assumi-la. As funções não possuem credenciais de longo prazo, como senhas ou pares de AccessKey. Quando um principal assume uma função, o Security Token Service (STS) gera credenciais de segurança temporárias, válidas apenas para aquela sessão.
Melhores práticas:
Não altere com frequência a entidade confiável de uma função RAM após a criação. A alteração de uma entidade confiável pode causar perda de permissão e afetar seus negócios, enquanto a adição de uma nova pode introduzir riscos de escalonamento de privilégios. Teste todas as modificações antes de aplicá-las.
-
Uma entidade confiável com as permissões necessárias pode chamar AssumeRole para obter um token STS com limite de tempo e assumir uma função RAM. Defina o período de validade do token para um valor adequado, a fim de reduzir os riscos de segurança.
NotaO período máximo de validade de um token STS corresponde à maior duração de sessão especificada para a função RAM. especifique uma duração de sessão adequada para reduzir os riscos de segurança.
ative o SSO para funções RAM, permitindo que os usuários acessem o console Alibaba Cloud por meio dos sistemas de identidade corporativa.