Object Storage Service:Reduza os riscos de acesso não autorizado causados pelo vazamento de AccessKey pairs

Defina a ACL dos seus buckets ou objetos como privada

Não configure a lista de controle de acesso (ACL) dos seus buckets ou objetos como leitura pública ou leitura/escrita pública, a menos que seu negócio exija que todos os usuários, incluindo anônimos, leiam e gravem dados nos seus recursos do OSS. Por exemplo, ao definir a ACL de um bucket como leitura pública ou leitura/escrita pública, as seguintes alterações entram em vigor:

• Leitura/escrita pública: Todos os usuários, inclusive anônimos, podem ler e gravar dados nos objetos do bucket.

  Aviso

  Qualquer usuário da internet pode acessar os objetos do bucket e gravar dados nele. Isso pode resultar em vazamento de dados e custos inesperadamente altos. Se alguém gravar dados ou informações proibidas nos objetos do bucket, seus direitos e interesses legítimos poderão ser violados. Recomendamos não definir a ACL do bucket como leitura/escrita pública, exceto quando estritamente necessário.

• Leitura pública: Apenas o proprietário do bucket pode gravar dados nos objetos. Outros usuários, incluindo anônimos, conseguem apenas ler o conteúdo.

  Aviso

  Todos os usuários da internet podem acessar os objetos no bucket, o que pode causar vazamento de dados e gerar custos imprevistos. Tenha cautela ao configurar a ACL do bucket como leitura pública.

Buckets ou objetos com acesso de leitura pública ou leitura/escrita pública podem levar a violações de dados. Por isso, recomendamos definir a ACL do objeto ou do bucket como privada. Com a ACL do bucket definida como privada, somente o proprietário consegue ler e gravar dados nos objetos. Antes de alterar a ACL do objeto ou do bucket para privada, certifique-se de que essa mudança não afetará suas operações.

Existem vários métodos para definir a ACL do objeto ou do bucket como privada. Para mais informações, consulte Bucket ACLs e Configure ACL for objects.

Não inclua AccessKey pairs em texto simples no código nem armazene AccessKey pairs criptografadas localmente

AccessKey pairs em texto simples no código podem vazar junto com ele. Armazenar AccessKey pairs criptografadas localmente também não é seguro, pois o conteúdo criptografado e descriptografado fica na memória, e esses dados podem ser transferidos para outro dispositivo. Aplicativos móveis e softwares em computadores estão sujeitos a esses riscos. Para obter os dados descriptografados, invasores precisam apenas usar técnicas como injeção, API hooking e depuração dinâmica.

Para evitar AccessKey pairs em texto simples no código, utilize plug-ins de segredos gerenciados para SDKs da Alibaba Cloud no servidor. Assim, você impede que as AccessKey pairs vazem junto com o source code ou o código compilado. Para mais detalhes sobre os plug-ins de segredos gerenciados para SDKs da Alibaba Cloud, consulte Managed secret plug-in for Alibaba Cloud SDKs.

Acesse o OSS usando um usuário RAM

A AccessKey pair de uma conta Alibaba Cloud tem permissões para todas as operações de API. Usar essas credenciais para realizar operações no OSS é uma atividade de alto risco. Recomendamos utilizar um usuário RAM para chamar operações de API ou executar tarefas rotineiras de O&M.

Crie usuários RAM e conceda permissões diferentes a cada um para gerenciar o acesso aos seus recursos. O RAM ajuda a manter sua conta Alibaba Cloud e senha em total sigilo em cenários onde vários usuários da empresa precisam gerenciar recursos cloud de forma colaborativa. Ele também permite conceder apenas as permissões mínimas necessárias, garantindo a segurança dos dados. Para mais informações, consulte Create a RAM user.

Após criar um usuário RAM, use uma política do RAM para conceder permissões a ele. Dessa forma, você gerencia seus usuários (como funcionários, sistemas e aplicações) e controla quais recursos eles podem acessar. Por exemplo, a política abaixo impede que determinados usuários RAM acessem um bucket chamado examplebucket, bem como seus objetos ou diretórios.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "oss:*",
            "Resource": [
                "acs:oss:*:*:examplebucket",
                "acs:oss:*:*:examplebucket/*"
            ]
        }
    ]
}

Também é possível usar políticas do RAM para impedir que usuários excluam diretórios em um bucket ou para autorizar apenas leitura dos recursos. Para mais detalhes, consulte Common examples of RAM policies.

Ative a MFA

A autenticação multifator (MFA) é um método de autenticação eficaz e fácil de usar. Ao ativar a MFA, o login no Alibaba Cloud Management Console exigirá nome de usuário, senha e um código de verificação dinâmico gerado por um dispositivo MFA. Isso bloqueia acessos não autorizados e protege sua conta Alibaba Cloud mesmo em caso de vazamento de senhas.

Ative a MFA para sua conta Alibaba Cloud. Para mais informações, consulte Bind an MFA device to an Alibaba Cloud account. Também é possível ativar a MFA para um usuário RAM. Para mais detalhes, consulte Bind an MFA device to a RAM user.

Acesse o OSS usando credenciais de acesso temporárias fornecidas pelo STS

Use o Security Token Service (STS) para gerar credenciais de acesso temporárias e autorizar um usuário RAM a acessar seus recursos do OSS por um período específico. Assim, você evita compartilhar sua AccessKey pair e garante maior segurança aos dados.

Para saber mais sobre como acessar o OSS com credenciais temporárias do STS, consulte Use temporary credentials provided by STS to access OSS.

Configure políticas de bucket

Configure políticas de bucket para conceder a outros usuários permissões de acesso a recursos específicos do OSS dentro de um bucket. Por exemplo, é possível permitir que outras contas acessem ou gerenciem todos os recursos ou apenas parte deles. Você também pode atribuir permissões diferentes a distintos usuários RAM da mesma conta.

Ao configurar políticas de bucket, siga o princípio do menor privilégio (PoLP) para reduzir riscos de segurança.

• Evite conceder permissões de acesso a todos os recursos do bucket

  Para prevenir excesso de permissões e acessos indevidos, conceda permissões apenas para os caminhos de recursos estritamente necessários.

• Não permita acesso anônimo

  Contas anônimas podem acessar o OSS se um endpoint e o nome do bucket forem fornecidos. No entanto, endpoints podem ser enumerados e nomes de buckets obtidos a partir de URLs de objetos acessíveis. Portanto, o acesso anônimo aumenta os riscos de segurança.

• Especifique a Action

  Ao configurar uma política de bucket no console do OSS, a opção Action, que oferece quatro operações de autorização, serve apenas como um atalho e pode não atender plenamente às necessidades do seu negócio. Recomendamos conceder apenas as permissões necessárias usando as Configurações Avançadas. Por exemplo, permissões de somente leitura incluem oss:ListObjects e oss:GetObject. Na maioria dos casos, apenas a permissão oss:GetObject é necessária para baixar um objeto.

• Ative HTTPS para acesso

  Ativar o HTTPS resolve problemas como ataques man-in-the-middle e sequestro de domínio. Além disso, ao usar o Google Chrome para acessar um site HTTPS, recursos http não são carregados por padrão. Certifique-se de ativar o HTTPS, pois é a forma mais econômica e eficiente de resolver diversas questões de segurança.

• Especifique endereços IP de origem

  Se os endereços IP usados para acessar recursos do OSS forem fixos e puderem ser enumerados, recomendamos configurá-los na política.

Por exemplo, use uma política de bucket para conceder ao usuário RAM Test permissão para baixar todos os objetos no diretório log do bucket examplebucket via SDKs do OSS ou pela ferramenta de linha de comando ossutil.

Defina Action como Advanced Settings e selecione oss:GetObject. Defina Effect como Allow. Na seção Condition, selecione HTTPS para Access Method e insira 10.10.10.10 em IP =. Em seguida, clique em OK.