Resource Access Management:Best practices for identity and access management

1. Evite operações rotineiras com a conta Alibaba Cloud

• Melhor prática: A conta Alibaba Cloud equivale ao usuário root em um sistema Linux. Embora possua todas as permissões, não é adequada para uso diário.

1. Crie um usuário RAM com permissões de administrador dedicado à gestão diária e às operações técnicas.

2. Utilize sua conta Alibaba Cloud apenas quando necessário e armazene com segurança sua senha, MFA e outras credenciais.

3. Execute todas as operações diárias com o usuário administrador RAM para evitar a exposição da sua conta Alibaba Cloud nos ambientes do dia a dia.

• Recomendações:

• Crie usuários RAM dedicados: Primeiramente, crie um usuário RAM com permissões de administrador. Para instruções, consulte Create a RAM user as an administrator. Em seguida, crie um usuário RAM independente para cada membro da sua organização. Para instruções, consulte Create a RAM user and grant permissions.

• Ative o MFA para a conta Alibaba Cloud: Para concluir o reforço de segurança da conta Alibaba Cloud, siga Configure MFA for the account.

2. Estabeleça um mecanismo de logon mais seguro

• Melhor prática: Para identidades humanas, proteger nomes de usuário e senhas é especialmente importante. Senhas complexas, rotação regular e MFA aumentam significativamente a dificuldade de comprometimento das credenciais.

• Guia de operação do RAM:

  • Aumente a complexidade da senha: Utilize password policy para definir os requisitos mínimos de comprimento e complexidade das senhas de usuários RAM, o período de validade da senha (como no máximo 90 dias) e o limite de tentativas. Isso fortalece a segurança das senhas dos usuários RAM.

  • Imponha o MFA para usuários RAM: MFA atua como uma segunda linha de defesa além das senhas. Mesmo que uma senha seja vazada, o MFA bloqueia efetivamente logons não autorizados. Em security settings, você pode defina MFA for RAM user sign-in para todos os usuários RAM da conta.

3. Implemente autenticação unificada para identidades humanas (SSO)

• Melhor prática: Com o single sign-on (SSO), a autenticação de identidade é delegada a um provedor de identidade (IdP) empresarial unificado, eliminando a necessidade de manter um sistema de senhas separado na cloud. A admissão, o desligamento e as alterações de permissão de funcionários podem ser concluídos em um único IdP, alcançando o gerenciamento centralizado do ciclo de vida da identidade.

• Recomendações: Utilize o recurso de gerenciamento de SSO do RAM para federar seu IdP empresarial, como Active Directory ou Okta, com o sistema de identidade da Alibaba Cloud baseado no protocolo SAML 2.0 ou OpenID Connect (OIDC). Com base no seu ambiente e nos requisitos de logon, configure user-based SSO ou role-based SSO.

  Nota

  Se sua empresa utiliza resource directory (RD) para gerenciar várias contas Alibaba Cloud, recomendamos o uso de cloud single sign-on (CloudSSO) para alcançar o gerenciamento unificado de identidades e permissões entre contas.

1. Prefira credenciais temporárias (tokens STS)

• Melhor prática: Uma vez criado, um AccessKey permanente permanece válido até ser excluído manualmente. Se um AccessKey for vazado, o risco persiste e ameaça a segurança de todos os recursos da conta. Por outro lado, um token do Security Token Service (token STS) obtido ao assumir uma RAM Role expira automaticamente após a duração da sessão especificada no momento da assunção da função. Essa duração não pode exceder a duração máxima da sessão da função, medida em horas. Mesmo que o token seja vazado acidentalmente, a janela de tempo para exploração é mínima.

• Recomendações: Utilize métodos sem AK para obter tokens STS, como assunção de função de instância ECS, assunção de função de instância de contêiner ou assunção de função do Function Compute. Esses métodos sem AK eliminam a necessidade de gerencie pares AccessKey, evitando totalmente sua exposição. Para mais informações, consulte Best practices for obtaining STS tokens.

2. Armazene e utilize adequadamente pares AccessKey inevitáveis

• Melhor prática: Em cenários onde tokens STS não podem ser usados, como desenvolvimento e depuração locais, caso seja obrigatório usar um AccessKey permanente, evite utilizar o AccessKey da conta Alibaba Cloud. Certifique-se de que cada AccessKey seja utilizado por apenas uma aplicação em um único ambiente e realize a rotação regularmente.

• Recomendações:

  • Não use o AccessKey da conta Alibaba Cloud: Nos cenários em que o AccessKey for obrigatório, substitua-o pelo AccessKey de um usuário RAM que possua as permissões apropriadas. Para instruções, consulte .

  • Não compartilhe pares AccessKey: Crie um RAM User independente e um AccessKey dedicado para cada aplicação e cada ambiente, incluindo desenvolvimento, teste e produção. Para instruções, consulte Manage AccessKey pairs. Mantenha seu AccessKey ID e AccessKey secret seguros. Não compartilhe informações do AccessKey com terceiros nem as registre em documentos públicos.

  • Realize a rotação regular de pares AccessKey: Quando um usuário RAM tiver dois pares AccessKey ativados, utilize um para operações diárias e reserve o outro exclusivamente para rotação. Para instruções, consulte Manage AccessKey pairs.

  • Conceda privilégio mínimo: Aplique a política de menor privilégio necessária para o cenário ao RAM User proprietário do AccessKey. Periodicamente, review permissions e revoke permissions conforme necessário.

  • Nunca codifique credenciais diretamente no código: Gerencie o AccessKey por meio de Best practices for obtaining STS tokens ou KMS Secrets Manager. Jamais escreva o AccessKey em texto simples em repositórios de código.

  • Restrinja o acesso: Configure políticas de acesso à rede para limitar o uso do AccessKey apenas a endereços IP específicos. Para instruções, consulte Configure access restrictions.

  • Desative e recicle pares AccessKey ociosos em tempo hábil: Defina a duração máxima de ociosidade dos pares AccessKey para no máximo 365 dias. Recomenda-se um valor de 90 dias. Para instruções, consulte Security settings.

  • Monitore e audite: Utilize o ActionTrail para monitorar o uso do AccessKey e detectar comportamentos anômalos prontamente.

1. Conceda acesso com privilégio mínimo

• Melhor prática: Conceda a uma identidade apenas as permissões mínimas necessárias para concluir suas tarefas designadas. Isso minimiza o impacto potencial caso as credenciais sejam roubadas.

• Recomendações:

  • Use uma política personalizada: Em cenários que não exigem administração, evite políticas de sistema com permissões excessivamente amplas, como AdministratorAccess. Utilize custom policy para autorização refinada, especifique explicitamente o recurso, a ação (Action/NotAction) e a condição (Condition).

  • Revise as permissões regularmente: Periodicamente, review permissions e revoke permissions conforme necessário.

2. Simplifique o gerenciamento de permissões com grupos de usuários RAM

• Melhor prática: Vincule permissões a responsabilidades. Simplifique as alterações de permissão para um único RAM User transformando-as em ajustes no RAM Group ao qual o usuário está atribuído. Isso melhora a eficiência da gestão e mantém a consistência das responsabilidades.

• Recomendações:

  • Crie grupos de usuários RAM: Crie grupos com base nas responsabilidades funcionais da sua organização, como um grupo de administradores de rede ou um grupo de desenvolvedores de aplicações. Para instruções, consulte Create RAM user groups.

  • Configure políticas de permissão: Anexe políticas de permissão correspondentes às responsabilidades funcionais. Para instruções, consulte Attach an access policy to a group. Não anexe políticas diretamente a cada RAM User.

3. Defina limites de permissão em ambientes de múltiplas contas

• Melhor prática: Para organizações com várias contas Alibaba Cloud, utilize políticas de controle baseadas no Resource Directory para restringir o escopo de permissões das identidades RAM nas contas membros.

• Recomendações: Em um ambiente de múltiplas contas com o resource directory ativado, quando uma identidade de RAM User ou RAM Role em uma conta membro tenta acessar services da Alibaba Cloud, a plataforma executa primeiro uma verificação de política de controle e, em seguida, a verificação de permissão RAM dentro da conta. Para mais informações, consulte Control policies. Antes de vincular políticas de controle, teste-as em pequena escala para garantir que funcionem conforme esperado e, só então, vincule-as a todos os nós de destino, incluindo pastas e membros.