Resource Access Management:Secure your cloud resources

Evite usar o usuário root de uma conta Alibaba Cloud

Ao se registrar na Alibaba Cloud, você cria automaticamente uma conta. Desenvolvedores individuais podem adicionar a verificação de nome real pessoal. Contas corporativas aceitam informações de verificação de nome real, faturamento, contrato e nota fiscal.

Cada conta Alibaba Cloud tem um usuário root que faz login com o nome de usuário e a senha da conta. O uso do usuário root apresenta os seguintes riscos:

• Exposição total de permissões: o usuário root tem permissões completas sobre a conta. Se o nome de usuário e a senha vazarem, todos os recursos ficarão expostos.

• Risco de vazamento de senha: se vários funcionários compartilharem o usuário root, cada um conhecerá as credenciais da conta, o que aumenta a probabilidade de vazamento.

• Ausência de trilha de auditoria: quando múltiplos funcionários compartilham o usuário root, não é possível identificar operadores individuais nos logs.

Criar um par de AccessKey para o usuário root introduz riscos adicionais:

• Exposição total de permissões: o par de AccessKey do usuário root possui permissões completas sobre a conta. Um vazamento expõe todos os recursos.

• Dilema operacional em caso de vazamento: um par de AccessKey é uma credencial permanente. Se o par de AccessKey do usuário root for usado em workloads online e vazar, desativá-lo interromperá esses workloads. Mantê-lo ativo significa que permissões ilimitadas permanecerão expostas.

Para proteger sua conta Alibaba Cloud:

• Mantenha as credenciais da conta apenas com o administrador. Não as compartilhe entre vários funcionários.

• Vincule um Universal 2nd Factor (U2F) security key ao usuário root para obter uma camada extra de proteção além da senha da conta.

• Faça login com as credenciais da conta Alibaba Cloud somente quando necessário.

• Evite usar o par de AccessKey de uma conta Alibaba Cloud.

Use identidades do RAM para acessar a Alibaba Cloud

Atribua identidades do RAM aos funcionários e programas que precisam acessar recursos da Alibaba Cloud. Crie usuários do RAM e anexe políticas para impor controle de acesso granular sem usar sua conta Alibaba Cloud para operações rotineiras de O&M. Para mais informações, consulte Create a RAM user.

• Acesso por funcionários: recomenda-se o uso de SSO. Se o SSO não estiver disponível, bind an MFA device ao ativar o login no console baseado em senha. Não compartilhe um usuário do RAM entre vários funcionários — credenciais compartilhadas aumentam os riscos de vazamento, impedem a identificação em auditorias e complicam o gerenciamento.

• Acesso por programas: tokens STS (credenciais temporárias) são recomendados para programas implantados na Alibaba Cloud, pois reduzem os riscos de vazamento de credenciais. Para mais informações, consulte Best practices for accessing Alibaba Cloud OpenAPI. Caso os programas não estejam implantados na Alibaba Cloud ou sejam necessários pares de AccessKey para desenvolvimento e depuração, crie pares de AccessKey para usuários do RAM. Para mais informações, consulte Create an AccessKey for a RAM user. Cada usuário do RAM suporta até dois pares de AccessKey — um para negócios e outro para rotação. Para mais informações, consulte Rotate an AccessKey for a RAM user.

Use SSO

Recomenda-se o SSO para o acesso de funcionários. Após ativar o SSO, todas as contas internas são autenticadas pelo sistema de identidade da sua empresa, e os usuários do RAM acessam a Alibaba Cloud usando suas contas internas. Não é necessário definir senhas para usuários do RAM na Alibaba Cloud, o que reduz os riscos de vazamento. Para mais informações, consulte SSO overview.

Configure uma política de senha para usuários do RAM

Se o SSO não estiver disponível, crie usuários do RAM para que os funcionários façam login com senhas. Configure uma política de senha no console do RAM para especificar o comprimento da senha, os tipos de caracteres obrigatórios e o período de validade. Para mais informações, consulte Configure a password policy for RAM users. Se um usuário do RAM tiver autorização para alterar a própria senha, ele deverá criar uma senha forte e rotacioná-la regularmente.

Ative o MFA para usuários do RAM

Ative o MFA para usuários do RAM e adicione uma camada extra de proteção além dos nomes de usuário e senhas.

Após ativar o MFA e vincular um dispositivo MFA, o usuário do RAM precisará fornecer dois fatores de autenticação ao fazer login na Alibaba Cloud ou executar operações sensíveis no console:

1. Primeiro fator: insira o nome de usuário e a senha.

2. Segundo fator: insira o código de verificação gerado por um dispositivo MFA virtual ou enviado para um endereço de e-mail de segurança, ou realize a autenticação por passkey.

A partir de 17 de março de 2025, o MFA de login é ativado por padrão para todos os usuários do RAM. Recomendamos manter esse padrão para reduzir os riscos de vazamento de senhas. Se você não quiser que todos os usuários do RAM realizem o MFA em cada login no console, defina o parâmetro MFA for RAM user sign-in como Only when sign-in abnormally. Os usuários do RAM ainda precisarão vincular dispositivos MFA, mas o MFA será exigido apenas quando a Alibaba Cloud detectar anomalias, reduzindo a frequência de autenticação. Para mais informações, consulte Bind an MFA device for a RAM user.

Use uma passkey para login

As passkeys são um método de autenticação seguro que pode substituir as senhas. Usuários do RAM podem usar passkeys para login e MFA. Para mais informações, consulte What is a passkey?. As passkeys usam a autenticação integrada do dispositivo — impressão digital, reconhecimento facial ou PIN — para login ou MFA. Para mais informações, consulte Manage passkeys for RAM users.

• O login baseado em passkey não exige MFA.

• Vincule um dispositivo MFA como alternativa para login baseado em senha quando a passkey não estiver disponível.

Agrupe usuários do RAM

Se sua conta tiver vários usuários do RAM, agrupe-os por responsabilidade e conceda permissões no nível do grupo. Para mais informações, consulte Overview, Create a RAM user group e Grant permissions to a RAM user group.

Limite os endereços IP de origem usados para login no console

Configure políticas de controle de acesso à rede para permitir que apenas endereços IP ou blocos CIDR específicos façam login no Alibaba Cloud Management Console, restringindo o acesso a ambientes de rede confiáveis. Para mais informações, consulte Network access control settings.

Use credenciais temporárias para acesso por programas

Um par de AccessKey (AccessKey ID + AccessKey secret) é uma credencial permanente para contas Alibaba Cloud e usuários do RAM. O uso inadequado gera riscos de vazamento de credenciais — por exemplo, se desenvolvedores codificarem pares de AccessKey em texto simples e enviarem o código para um repositório público como o GitHub.

Em vez de usar pares de AccessKey permanentes, assuma uma função do RAM para obter um token STS temporário. Os tokens STS expiram automaticamente após a duração máxima da sessão da função do RAM, reduzindo significativamente os riscos de vazamento de credenciais.

Para programas implantados na Alibaba Cloud, use tokens STS em vez de pares de AccessKey. Para mais informações, consulte Best practices for accessing Alibaba Cloud OpenAPI.

Evite codificar pares de AccessKey em texto simples

Se desenvolvedores codificarem pares de AccessKey em texto simples no código e o enviarem para um repositório como o GitHub ou o compartilharem, as credenciais serão vazadas.

Caso seja necessário um par de AccessKey, use a ferramenta Alibaba Cloud Credentials, o Key Management Service (KMS) ou variáveis de ambiente do sistema para gerenciá-lo. Para mais informações, consulte Manage and use RAM secrets. Se um par de AccessKey vazar, substitua-o o mais rápido possível. Para mais informações, consulte Best practices for accessing Alibaba Cloud OpenAPI.

Remova usuários do RAM e pares de AccessKey desnecessários

Se usuários do RAM e pares de AccessKey de funcionários desligados ou ex-parceiros não forem removidos, eles ainda poderão acessar recursos corporativos em cloud, e roubos de credenciais podem passar despercebidos.

A partir de setembro de 2024, a Alibaba Cloud implementa gradualmente a desativação automática de usuários do RAM e pares de AccessKey ociosos. O recurso desativa diariamente os pares de AccessKey elegíveis. Um usuário do RAM é considerado ocioso se não tiver feito login nos últimos dois anos. Um par de AccessKey é considerado ocioso se não tiver sido usado nos últimos dois anos.

Limite os endereços IP de origem usados para chamadas de API baseadas em par de AccessKey

Configure políticas de controle de acesso à rede baseadas em par de AccessKey para permitir que apenas endereços IP específicos chamem operações de API, restringindo as chamadas de API a ambientes de rede confiáveis. Para mais informações, consulte AccessKey network ACL policy.

• Se um par de AccessKey estiver vazado ou houver suspeita de vazamento, configure uma política de controle de acesso à rede para permitir chamadas de API apenas de redes confiáveis e bloquear chamadas externas suspeitas.

• Audite as condições de rede de cada conta e configure políticas de controle de acesso à rede no nível da conta ou do par de AccessKey para evitar chamadas externas suspeitas.