Resource Access Management:Create an AccessKey pair

O que é um par de AccessKey?

Um par de AccessKey consiste em um AccessKey ID e um AccessKey secret, usados em conjunto para autenticar solicitações programáticas ao Alibaba Cloud.

• AccessKey ID: identificador público e exclusivo do seu par de AccessKey.

• AccessKey secret: chave privada usada para assinar solicitações de API. A assinatura verifica a autenticidade e a integridade da solicitação. Mantenha seu AccessKey secret em total sigilo.

Tipos de AccessKey

Os pares de AccessKey dividem-se em dois tipos, conforme a titularidade:

• Par de AccessKey de conta Alibaba Cloud (não recomendado)

  Este par de AccessKey pertence à conta Alibaba Cloud. Por padrão, possui permissões totais sobre todos os recursos da conta. Se comprometido, o risco de segurança é altíssimo. Recomendamos fortemente que você não crie nem use um par de AccessKey para sua conta Alibaba Cloud.

• Par de AccessKey de usuário RAM (recomendado)

  Este par de AccessKey pertence a um usuário RAM, que deve ser criado previamente. O par herda as permissões do usuário RAM, permitindo o gerenciamento de acesso com privilégio mínimo. Como prática recomendada, atribua um usuário RAM e um par de AccessKey distintos para cada aplicativo independente. Isso evita permissões excessivas e reduz o impacto caso as credenciais sejam comprometidas.

Requisitos de permissão

Uma conta Alibaba Cloud possui permissões irrestritas; portanto, evite usá-la para criar pares de AccessKey em produção. Em vez disso, use um usuário RAM com as permissões adequadas para criar e gerenciar pares de AccessKey (exceto aqueles pertencentes à própria conta Alibaba Cloud).

• Conceda a política de sistema AliyunRAMFullAccess (administrador do RAM) a um administrador para permitir que ele crie e gerencie pares de AccessKey para usuários RAM.

• Alternativamente, ative a opção Allow users to manage AccessKey nas configurações globais de segurança do RAM para permitir que os usuários gerenciem seus próprios pares de AccessKey. Para mais informações, consulte Gerenciar configurações de segurança para usuários RAM.

  Nota

  Ativar essa configuração significa que todos os usuários RAM poderão gerenciar seus próprios pares de AccessKey, incluindo criá-los, desativá-los e excluí-los, a menos que um administrador anexe uma política que negue explicitamente essas operações.

  Não recomendamos ativar essa configuração em ambientes de produção. Para permitir que um usuário específico gerencie seu próprio par de AccessKey, use uma política personalizada com o elemento Resource definido para a própria identidade do usuário. Veja os exemplos de políticas abaixo:

  Create AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

  Manage AccessKey

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ram:CreateAccessKey",
          "ram:ListAccessKeys",
          "ram:UpdateAccessKey",
          "ram:DeleteAccessKey",
          "ram:GetAccessKeyLastUsed",
          "ram:ListAccessKeysInRecycleBin"
        ],
        "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
      }
    ]
  }

Criar um AccessKey para um usuário RAM

Execute as etapas a seguir como administrador do RAM (um usuário com a política AliyunRAMFullAccess). Se não houver usuários RAM em sua conta, consulte Criar um usuário RAM.

Criar um AccessKey de conta Alibaba Cloud (não recomendado)

1. Faça login no console do Alibaba Cloud com sua conta Alibaba Cloud.

2. Passe o mouse sobre sua foto de perfil no canto superior direito e clique em AccessKey.

   

3. Na caixa de diálogo We do not recommend that you use the AccessKey of your Alibaba Cloud account, leia os riscos associados à criação de um par de AccessKey para sua conta Alibaba Cloud. Se precisar continuar, marque a caixa de seleção I am aware of the security risks of using a main account AccessKey. e clique em Continue to use the AccessKey of my Alibaba Cloud account.

4. Na página AccessKey, clique em Create AccessKey.

   Nota

   Uma conta Alibaba Cloud pode ter no máximo dois pares de AccessKey. Um destina-se ao uso ativo e o segundo ao rodízio de credenciais.

5. Na caixa de diálogo Create Main Account AccessKey, revise novamente os riscos e as limitações. Se tiver certeza de que deseja criar o par de AccessKey, marque a caixa de seleção I am aware of the security risks of using a main account AccessKey. e clique em Continue to use the AccessKey of my Alibaba Cloud account.

6. Na caixa de diálogo Create AccessKey, salve o AccessKey ID e o AccessKey secret. Em seguida, marque a caixa de seleção I have saved the AccessKey Secret e clique em OK.

   (Recomendado) Configurar uma política de ACL de rede para AccessKey: restrinja os endereços IP de origem das solicitações de API que usam este par de AccessKey. Essa medida aumenta a segurança ao garantir que o par seja usado apenas em ambientes de rede confiáveis. Recomendamos clicar em Configure network access policy para definir os ambientes de rede confiáveis para este par de AccessKey. Para mais informações, consulte Configurar uma política de ACL de rede de AccessKey para uma conta Alibaba Cloud.

   Importante

   Para reduzir o risco de vazamento, o AccessKey secret de uma conta Alibaba Cloud é exibido apenas no momento da criação e não pode ser recuperado.

Referências

• Perguntas frequentes sobre pares de AccessKey

• Práticas recomendadas para uso de credenciais de acesso às APIs do Alibaba Cloud

• Tratar pares de AccessKey vazados

• Política de ACL de rede para AccessKey