O par de AccessKey (AK) é a credencial de autenticação usada nas chamadas à API do Alibaba Cloud. Incidentes de segurança mostram que, após o comprometimento de um AK, invasores podem assumir rapidamente a conta associada, interromper cargas de trabalho na nuvem e gerar cobranças excessivas ou violações de dados. Para proteger seus ativos, o Alibaba Cloud aplica proteção restritiva ao AK ao detectar sinais de comprometimento, evitando danos adicionais.
Sintomas da proteção restritiva de AK
Ao acessar o Alibaba Cloud por chamadas diretas de API ou ferramentas de desenvolvimento como CLI, SDK ou Terraform, a seguinte mensagem de erro indica que o AK usado na autenticação está sob proteção restritiva:
Forbidden : There is a risk of leakage of this AccessKey.Escopo da proteção restritiva de AK
A proteção restritiva de AK aplica-se a operações de API de alto risco selecionadas, independentemente do endereço IP de origem ou do método de acesso. A lista de operações de API restritas está sujeita a alterações. Para consultar a lista atual, veja Restricted API operations.
Remover a proteção restritiva de AK
Como não é possível modificar um AK após a criação, um AK comprometido continua a representar risco até sua exclusão ou rotação. Por esse motivo, não é possível remover a proteção restritiva.
A lista de APIs restritas abrange um conjunto limitado de operações. Invasores ainda podem usar um AK comprometido para chamar operações de API fora da lista de proteção e afetar suas cargas de trabalho na nuvem. Portanto, a proteção restritiva é uma medida temporária. Siga as instruções em AccessKey leak response plan para excluir ou rotacionar o AK e remediar o risco.
Caso precise de ajuda durante esse processo ou discorde da medida de proteção restritiva, acesse a página Emergency Response e clique em Contact Support.
Como evitar o acionamento da proteção restritiva
Após criar um par de AccessKey (AK), configure uma política de restrição de acesso à rede para limitar as origens das chamadas de API a endereços IP confiáveis.
Configurar uma política de restrição de acesso à rede
Na página de detalhes do usuário no console RAM, clique em na aba Credentials.
Na seção de par de AccessKey, clique em em Network Access Restriction Policy na coluna Actions do AK desejado.
Ative a política, adicione uma política de acesso público e insira os endereços IP de origem confiáveis.
Insira o AccessKey ID para confirmar a alteração e envie.
Se você não configurar uma política de acesso público ou uma política de acesso à VPC, todo o acesso do tipo de rede correspondente será bloqueado por padrão.
As políticas de restrição de acesso à rede possuem dois tipos: a política de acesso público, que restringe os endereços IP de origem, e a política de acesso à VPC, que restringe tanto a VPC quanto os endereços IP de origem.
Rotacionar um par de AccessKey
Na aba Credentials, clique em em Create AccessKey.
Selecione um cenário de uso e conclua a verificação MFA para criar um novo par de AccessKey.
Atualize suas aplicações para usar o novo par de AccessKey. Após confirmar que seus serviços funcionam conforme o esperado, desative e exclua o par de AccessKey antigo.
Para obter as etapas detalhadas, consulte Rotate the AccessKey pair of a RAM user.
Operações de API restritas
|
Service |
API version |
API |
Description |
|
Resource Access Management (RAM) |
2015-05-01 |
All |
N/A |
|
Identity Management Service (IMS) |
2019-08-15 |
All |
N/A |
|
CloudSSO |
2021-05-15 |
EnableService |
Ativar o CloudSSO |
|
Elastic Compute Service (ECS) |
2014-05-26 |
RunInstances |
Criar uma ou mais instâncias ECS com pagamento conforme o uso ou assinatura |
|
CreateInstance |
Criar uma instância ECS com assinatura ou pagamento conforme o uso |
||
|
CreateAutoProvisioningGroup |
Criar um grupo de provisionamento automático |
||
|
StartInstance |
Iniciar uma instância |
||
|
StartInstances |
Iniciar instâncias |
||
|
RunCommand |
Executar um script em instâncias |
||
|
DeleteInstance |
Excluir uma instância ECS |
||
|
DeleteInstances |
Excluir instâncias ECS em lote |
||
|
DeleteSnapshotGroup |
Excluir um grupo de snapshots |
||
|
DeleteSnapshot |
Excluir um snapshot |
||
|
DeleteImage |
Excluir uma imagem personalizada |
||
|
CreateCommand |
Criar um comando do Cloud Assistant |
||
|
InvokeCommand |
Executar um comando do Cloud Assistant em uma ou mais instâncias ECS |
||
|
Elastic Container Instance (ECI) |
2018-08-08 |
CreateContainerGroup |
Criar um grupo de contêineres |
|
BatchCreateContainerGroups |
Criar grupos de contêineres em lote |
||
|
DeleteContainerGroup |
Excluir um grupo de contêineres |
||
|
DeleteContainerGroups |
Excluir grupos de contêineres em lote |
||
|
Short Message Service (SMS) |
2017-05-25 |
AddSmsTemplate |
Solicitar um modelo de SMS |
|
SendSms |
Enviar uma mensagem SMS |
||
|
SendBatchSms |
Enviar mensagens SMS em lote |
||
|
CreateSmsTemplate |
Solicitar um modelo de SMS |
||
|
Elastic Desktop Service (EDS) |
2020-09-30 |
StartDesktops |
Iniciar desktops na nuvem |
|
CreateDesktops |
Criar desktops na nuvem |
||
|
CreateDesktopGroup |
Criar um grupo de desktops |
||
|
ModifyDesktopGroup |
Modificar um grupo de desktops |
||
|
RebootDesktops |
Reiniciar desktops na nuvem |
||
|
RebuildDesktops |
Alterar a imagem de desktops na nuvem |
||
|
GetConnectionTicket |
Conectar-se a um desktop na nuvem |
||
|
ModifyDesktopSpec |
Modificar as especificações de um desktop na nuvem |
||
|
RunCommand |
Executar um comando remoto em um desktop na nuvem |
||
|
Performance Testing Service (PTS) |
2019-08-10 |
StartJMeterTesting |
Iniciar um teste JMeter |
|
SaveJMeterScene |
Salvar uma cena JMeter |
||
|
CreateJMeterScene |
Criar uma cena JMeter |
||
|
CreateCronJob |
Criar um teste de estresse agendado |
||
|
StartSceneTesting |
Iniciar um teste de estresse |
||
|
StartDebugging |
Iniciar uma tarefa de depuração |
||
|
CreateScene |
Criar uma cena |
||
|
SaveScene |
Salvar uma cena |
||
|
Performance Testing Service (PTS) |
2020-10-20 |
SaveOpenJMeterScene |
Salvar uma cena |
|
StartDebuggingJMeterScene |
Depurar uma cena |
||
|
StartTestingJMeterScene |
Executar um teste de estresse em uma cena |
||
|
SavePtsScene |
Salvar ou modificar uma cena |
||
|
CreatePtsScene |
Criar uma cena |
||
|
StartDebugPtsScene |
Depurar uma cena |
||
|
StartPtsScene |
Iniciar uma cena |
||
|
ApsaraDB RDS for MySQL |
2014-08-15 |
ModifyBackupPolicy |
Modificar a política de backup de uma instância |
|
DeleteBackup |
Excluir arquivos de backup de uma instância |
||
|
DescribeBackups |
Consultar o conjunto de backups de uma instância RDS |
||
|
DeleteDBInstance |
Liberar uma instância RDS |
||
|
DestroyDBInstance |
Destruir uma instância |
||
|
DeleteDatabase |
Excluir um banco de dados |
||
|
CreateAccount |
Criar uma conta de banco de dados |
||
|
ResetAccountPassword |
Redefinir a senha de uma conta de banco de dados |
||
|
ResetAccount |
Redefinir as permissões de uma conta privilegiada |
||
|
GrantAccountPrivilege |
Conceder permissões de acesso ao banco de dados para uma conta |
||
|
Database Disaster Recovery (DBS) |
2021-01-01 |
ModifyBackupStrategy |
Modificar a programação de backup |
|
CreateDownload |
Criar uma tarefa de download |
||
|
DescribeDownloadBackupSetStorageInfo |
Consultar as informações de armazenamento de um conjunto de backups disponível para download |
||
|
Alibaba Cloud DNS |
2015-01-09 |
DeleteDomain |
Excluir um nome de domínio |
|
AddDomainRecord |
Adicionar um registro DNS |
||
|
DeleteDomainRecord |
Excluir um registro DNS |
||
|
UpdateDomainRecord |
Modificar um registro DNS |
||
|
SetDomainRecordStatus |
Definir o status de um registro DNS |
||
|
Alibaba Cloud Billing |
2017-12-14 |
RefundInstance |
Cancelar a assinatura de uma instância |
|
Instant Computing Service |
2023-07-01 |
CreateJob |
Criar um job E-HPC Instant |
|
CreatePool |
Criar um pool de recursos |
||
|
Elastic High Performance Computing (E-HPC) |
2024-07-30 |
CreateCluster |
Criar um cluster |
|
CreateNodes |
Criar nós de computação em lote |
||
|
Data Management (DMS) |
2018-11-01 |
CreateOrder |
Criar um ticket |
|
CreateDataExportOrder |
Criar um ticket de exportação de conjunto de resultados SQL |
||
|
CreateDatabaseExportOrder |
Criar um ticket de exportação de banco de dados |
||
|
CreateDataCorrectOrder |
Criar um ticket de alteração de dados comum |
||
|
CreateDataCronClearOrder |
Criar um ticket de limpeza de dados históricos |
||
|
CreateDataImportOrder |
Criar um ticket de importação de dados |
||
|
CreateFreeLockCorrectOrder |
Criar um ticket de alteração sem bloqueio |
||
|
GetDataExportDownloadURL |
Obter a URL de download de um resultado de exportação de dados |
||
|
GetDbExportDownloadURL |
Obter a URL de download de um resultado de exportação de banco de dados |
||
|
CreateProcCorrectOrder |
Criar um ticket de alteração de objeto programável |