Desative um par de chaves de acesso de um usuário do RAM quando as permissões dele mudarem ou quando ele não precisar mais acessar os recursos do Alibaba Cloud programaticamente.
Informações de contexto
Após a desativação de um par de chaves de acesso, o usuário do RAM não poderá mais usá-lo para chamar as APIs do Alibaba Cloud. Se suas aplicações utilizarem esse par de chaves de acesso, poderão ocorrer interrupções de service. Prossiga com cautela.
Por padrão, o Alibaba Cloud desativa automaticamente um par de chaves de acesso não utilizado há mais de 730 dias. Altere esse período para 365, 180 ou 90 dias nas configurações de segurança. Um par de chaves de acesso desativado automaticamente não é excluído. Reative-o clicando em Ative no console do RAM. A verificação de autenticação multifator (MFA) é obrigatória para reativar o par de chaves de acesso.
Antes de desativar um par de chaves de acesso, observe os seguintes impactos:
Após a desativação de um par de chaves de acesso, todas as aplicações e scripts que utilizam esse par para acessar os services do Alibaba Cloud por meio de API, CLI, SDK ou Terraform apresentarão falha.
As funções do RAM, como as funções predefinidas pelo sistema para services como o Data Transmission Service (DTS) e o Database Backup (DBS), acessam os services de cloud por meio de credenciais temporárias do Security Token Service (STS). Essas funções não dependem do par de chaves de acesso desativado. Desde que o par de chaves de acesso não tenha sido usado manualmente para assumir funções para fins corporativos, esses services não serão afetados.
Para identificar os services afetados, acesse o console do RAM para verificar as políticas de permissão associadas ao par de chaves de acesso ou use o ActionTrail para consultar as operações de API do service de cloud chamadas recentemente usando esse par de chaves de acesso.
Caso descubra que um par de chaves de acesso sofreu vazamento ou está sendo utilizado para chamadas de API anormais, tome imediatamente as seguintes medidas:
Desative ou exclua o par de chaves de acesso para eliminar o risco.
As chamadas de API são requisições únicas. Não é possível desativar uma chamada anormal específica. Execute as operações no próprio par de chaves de acesso.
No console do RAM, clique em Event List ou IP List na seção AccessKey para rastrear os detalhes das chamadas anormais.
Após a resolução do incidente, crie um novo par de chaves de acesso para um usuário do RAM e conceda permissões com base no princípio do menor privilégio. Não recomendamos o uso dos pares de chaves de acesso da sua conta do Alibaba Cloud (conta raiz).
Procedimento
Acesse o console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
Na página Users, clique no nome do usuário do RAM de destino.
-
Na guia Authentication, na seção AccessKey, clique em Disabled na coluna Actions do par de chaves de acesso de destino.
NotaPara reativar um par de chaves de acesso desativado, clique em Enable na coluna Actions.
Na caixa de diálogo Disabled, clique em Disabled.
Perguntas frequentes
Por que ainda há registros ou alertas de chamadas de API após a desativação de um par de chaves de acesso?
Após a desativação de um par de chaves de acesso, todas as chamadas de API que utilizam esse par falham com um erro 403. O par de chaves de acesso desativado não pode ser usado para acessar nenhum recurso do Alibaba Cloud.
No entanto, o sistema ainda registra essas tentativas de chamada com falha e pode acionar alertas de segurança. Esse é um mecanismo normal de monitoramento de segurança. O horário de Last Used no console registra apenas o horário da última chamada bem-sucedida e não é atualizado por chamadas com falha após a desativação do par de chaves de acesso.
Se não precisar mais do par de chaves de acesso, recomendamos excluí-lo para deixar de receber notificações de alerta.
Como consultar o horário em que um par de chaves de acesso foi desativado?
Consulte o horário exato em que um par de chaves de acesso foi desativado usando o ActionTrail. Acesse o console do ActionTrail, acesse a página de consulta de eventos e pesquise o AccessKey ID. Os registros de eventos de gerenciamento mostram o horário exato em que o par de chaves de acesso foi desativado.
É possível desativar pares de chaves de acesso para vários usuários do RAM ao mesmo tempo?
Não. Não há suporte para desativação em lote. Acesse a página de detalhes de cada usuário do RAM para desativar os pares de chaves de acesso um a um.
Como desativar um par de chaves de acesso da minha conta do Alibaba Cloud (conta raiz)?
O procedimento para gerenciar os pares de chaves de acesso da sua conta do Alibaba Cloud (conta raiz) difere do procedimento para usuários do RAM. Acesse a página de gerenciamento de AccessKey. Na lista de pares de chaves de acesso, encontre o par de chaves de acesso de destino e clique em Disable.
Se um par de chaves de acesso da sua conta do Alibaba Cloud não for utilizado há muito tempo, recomendamos excluí-lo em vez de apenas desativá-lo.