Resource Access Management:Require MFA for accessing cloud resources

Pré-requisitos

• Antes de criar uma política personalizada, certifique-se de compreender os elementos básicos e a sintaxe da linguagem de política de permissões. Para mais informações, consulte {{XREF_0}} e {{XREF_1}}.

• Baixe e instale o Google Authenticator app no seu dispositivo móvel. Baixe o aplicativo da seguinte forma:

  • Para iOS: Pesquise por Google Authenticator na App Store.

  • Para Android: Pesquise por Google Authenticator na sua loja de aplicativos preferida.

    Nota

    O aplicativo Google Authenticator para Android requer um leitor de código de barras separado para escanear códigos QR. Você também precisa instalar um aplicativo de leitura de código de barras na sua loja de aplicativos.

Etapa 1: Criar uma política personalizada

1. Faça logon no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Permissions > Policies.

3. Na página Policies, clique em Create Policy.

4. Na página Create Policy, clique na aba JSON Editor.

   A página exibe um editor JSON. O modelo de política padrão inclui um elemento Version (definido como "1") e um array Statement. Cada instrução inclui os elementos Effect (padrão "Allow"), Action, Resource e Condition. Você deve preencher os elementos Action e Resource.

5. Insira o documento de política.

   Exemplo de política: Apenas usuários do RAM com MFA ativado podem acessar recursos do ECS no console. Você pode implementar isso usando o elemento Condition para definir o valor de acs:MFAPresent como true.

   {
       "Statement": [
           {
               "Action": "ecs:*",
               "Effect": "Allow",
               "Resource": "*",
               "Condition": {
                   "Bool": {
                       "acs:MFAPresent": "true"
                   }
               }
           }
       ],
       "Version": "1"
   }

   Nota

   O elemento Condition aplica-se apenas às ações especificadas nesta política de permissão. Você pode modificar o documento de política para restringir o acesso a outros recursos de cloud conforme necessário.

6. No topo da página, clique em Optimize e, em seguida, clique em Perform para executar a otimização avançada na política.

   O recurso de otimização avançada de política executa as seguintes tarefas:

   • Divide recursos ou condições para ações incompatíveis.

   • Reduz o escopo dos recursos.

   • Remove instruções duplicadas ou mescla instruções.

7. Na página Create Policy, clique em OK.

8. Na caixa de diálogo Create Policy, insira um Policy Name e uma Description e, em seguida, clique em OK.

Etapa 2: Criar um usuário do RAM

1. Faça login no console do RAM usando sua conta Alibaba Cloud ou como um usuário do RAM com permissões administrativas (um usuário ao qual a política AliyunRAMFullAccess está anexada).

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, clique em Create User.

4. Na página Create User, na seção User Account Information, configure as informações básicas do usuário.

   • Logon Name (required): Até 64 caracteres. Permite letras, dígitos, pontos (.), hífens (-) e sublinhados (_).

   • Display Name (optional): O nome pode ter até 128 caracteres.

   • Tag (optional): Clique em , depois insira uma chave de tag e um valor de tag para categorizar e gerenciar usuários.

   Nota

   Clique em Add User para criar vários usuários do RAM em massa.

5. Na seção Access Mode, selecione um modo de acesso com base no tipo de usuário.

   Importante

   • Como prática recomendada de segurança, selecione apenas um modo de acesso por usuário para separar o acesso humano ao console do acesso programático de aplicativos. Se um usuário do RAM precisar de login no console e capacidades de chamada de API, você pode selecionar ambos os modos de acesso. Após selecionar Permanent AccessKey, você deve marcar a caixa de seleção I confirm that I must create an AccessKey para continuar.

   • Um AccessKey pair vazado compromete sua conta. Use Security Token Service (STS) tokens (credenciais temporárias) para reduzir o risco. {{XREF_2}}.

   Acesso ao console

   Selecione Console Access.

   • Set Logon Password: Gere automaticamente ou defina uma senha personalizada. Senhas personalizadas devem atender aos requisitos de complexidade configurados. {{XREF_3}}.

   • Password Reset: Especifique se o usuário deve redefinir a senha no próximo login.

   • Enable MFA: O MFA é exigido para todos os usuários por padrão. Para alterar essa configuração, consulte {{XREF_4}}. Os usuários devem vincular um dispositivo MFA no primeiro login. {{XREF_5}}.

   Acesso programático

   Selecione Permanent AccessKey.

   O sistema cria automaticamente um AccessKey ID e um AccessKey secret para o usuário do RAM.

   Importante

   O AccessKey secret é exibido apenas na criação e não pode ser recuperado posteriormente. Você deve baixar ou copiar e salvar o AccessKey secret imediatamente. Um AccessKey pair vazado compromete todos os recursos sob sua conta. {{XREF_6}}.

Etapa 3: Conceder permissões

Conceda a política personalizada que você criou em {{XREF_7}} ao usuário do RAM que você criou em {{XREF_8}}.

1. Faça logon no console do RAM.

2. No painel de navegação à esquerda, escolha Identities > Users.

3. Na página Users, encontre o usuário do RAM de destino e clique na coluna Actions > Attach Policy.

   Você também pode selecionar vários usuários do RAM e clicar em Attach Policy abaixo da lista de usuários para autorização em lote.

4. No painel Grant Permission, configure as seguintes definições:

   • Resource scope:

     • Account level: As permissões aplicam-se a todos os recursos na sua conta Alibaba Cloud.

     • Resource group level: As permissões aplicam-se apenas dentro do grupo de recursos especificado. Após fazer logon, o usuário do RAM deve alternar para o grupo de recursos autorizado na barra de navegação superior.

       Nota

       1. O sistema marca políticas de sistema de alto risco (como AdministratorAccess e AliyunRAMFullAccess) com um indicador de aviso. Essas políticas geralmente concedem controle total sobre todos os recursos de cloud ou gerenciamento total do RAM. Conceda essas políticas com cautela.

       2. Para exemplos de autorização de grupo de recursos, consulte {{XREF_9}}.

   • Principal:

     O principal é o usuário do RAM que recebe as permissões. A partir da página Users, o sistema seleciona automaticamente o usuário atual. A partir da página Grants, você deve selecionar o usuário manualmente. A seleção em lote é suportada.

   • Permission policy:

     • System policy: Pesquise e selecione. Filtre por nome do product (por exemplo, ECS, OSS), nível de acesso (por exemplo, ReadOnly, FullAccess) ou nome completo da política. Por exemplo, para conceder permissões para gerenciamento financeiro (despesas e custos), pesquise por BSS para encontrar AliyunBSSFullAccess (acesso total ao Billing and Cost Management) e outras políticas relacionadas a finanças.

       A tabela a seguir lista os nomes de políticas de sistema para os products da Alibaba Cloud mais solicitados, ajudando você a encontrar rapidamente a política correta.

       Product	Nome da política de sistema	Nível de acesso
       Faturamento e gerenciamento de custos (finanças)	AliyunBSSFullAccess	Acesso total
       Cloud Monitor	AliyunCloudMonitorReadOnlyAccess	Somente leitura
       China Gateway (Website Builder)	AliyunWebsiteBuildFullAccess	Acesso total
       Alibaba Cloud DevOps	AliyunRDCFullAccess	Acesso total
       Model Studio (Bailian)	AliyunBailianFullAccess	Acesso total
       Alibaba Cloud DNS	AliyunDNSFullAccess	Acesso total
       SSL Certificates Service	AliyunYundunCertFullAccess	Acesso total
       Cloud Phone	AliyunECDFullAccess	Acesso total
       Support Center	AliyunSupportFullAccess	Acesso total
       Resource Center	AliyunResourceCenterFullAccess	Acesso total
       AgentBay	AliyunAgentBayFullAccess	Acesso total
       Security Center	AliyunYundunSASFullAccess	Acesso total

       Se você não conseguir encontrar a política para o product de destino, consulte o {{XREF_11}} para a lista completa, ou {{XREF_12}} para controle de acesso granular.

     • Custom policy: Você deve {{XREF_13}} antes de poder concedê-la.

     • Pagination limit for select all: A lista de políticas é paginada. Selecionar tudo aplica-se apenas à página atual. Após mudar de página, as políticas selecionadas anteriormente permanecem na lista de selecionadas, mas as políticas na nova página não são selecionadas automaticamente; você deve selecioná-las página por página.

     • Quickly grant administrator permissions: Para conceder permissões de administrador, pesquise por AdministratorAccess na caixa de pesquisa e selecione-o diretamente, em vez de selecionar políticas página por página. Selecionar esta política aciona um aviso de autorização de alto risco.

   • (Opcional) Description: Insira o motivo ou cenário da autorização para fins de auditoria.

   • Clique em Confirm.

5. Revise o resultado da autorização e clique em Close.

Etapa 4: Ativar o MFA

Ative o MFA para o usuário do RAM que você criou em {{XREF_14}}. Para mais informações, consulte {{XREF_15}}.