Elastic Desktop Service：身份與訪問管理

1.1 使用RAM使用者作為管理員帳號

阿里雲帳號作為主帳號，對該帳號下的雲資源具備最高的存取權限，因此也蘊含潛在的風險。按照最小化授權的原則，建議您使用RAM使用者作為管理員帳號來登入無影雲電腦企業版控制台，並根據需要為RAM使用者授予適當的許可權。

1.2 終端使用者帳號生命週期

無影雲電腦企業版的管理員可以將雲資源（即雲電腦）分配給終端使用者帳號使用。為了確保雲資源在終端使用者帳號生命週期各階段的安全性，請根據需要及時採取以下行動：

• 及時收回分配給終端使用者帳號的雲電腦

• 按需禁用終端使用者帳號

• 及時刪除不再需要使用的終端使用者帳號

1.3 終端使用者帳號密碼有效期間

終端使用者便捷帳號的密碼有效期間預設為永久有效。您可以設定30~365天的有效期間。當密碼到期後，終端使用者必須先修改密碼才能繼續登入。

2.1 基於存取控制RAM的管理員分級分權

使用無影雲電腦企業版時，您可以藉助Resource Access Management (RAM)實現許可權管理，實現以不同RAM使用者對雲電腦的不同方面進行管控。

2.2 基於無影許可權體系的管理員分級分權

以阿里雲主帳號登入無影雲電腦控制台時，該帳號具備所有的許可權，可以使用控制台上提供的所有管控功能，也可以操作所有的資源。對於組織圖龐大、部門多、員工數量多、雲電腦數量多的客戶而言，如果只有一名管理員來承擔所有的管控工作，一方面可能會有工作量過大的問題，另一方面可能也會不符合企業內部的許可權隔離要求。此時，就需要有一名或多名子管理員來分擔，但這種情境會有以下需求：

• 實施功能許可權隔離：例如，子管理員A僅可建立和系統管理使用者，但不可建立和管理雲電腦；子管理員B僅可查看所有資料，不可執行其他動作。

• 實施資料許可權隔離：例如，子管理員C僅可查看和管理研發部門的雲電腦，子管理員D僅可查看和管理設計部門的雲電腦。

無影雲電腦企業版提供的許可權管理模組可以滿足上述需求。

3.1 多因素認證MFA

多因素認證MFA（Multi-Factor Authentication）是一種簡單有效安全實踐，在使用者名稱和密碼之外再增加一層安全保護，用於管理員登入控制台或終端使用者登入終端時的二次身分識別驗證（不影響通過AccessKey的API調用），以此保護您的帳號和雲資源。

3.2 限定登入終端

除了人員有身份之外，終端也有身份，以UUID來標識，它們是終端裝置的可信身份標識，具備不可篡改、不可偽造、全球唯一的安全屬性。管理員可以開啟可信裝置認證，並為終端使用者添加限定登入終端，添加後，終端使用者只能登入添加的終端，不能登入其他終端。

3.3 用戶端登入校正

該配置預設關閉。開啟後，終端使用者從新的裝置登入無影終端時需完成郵箱驗證碼校正，校正通過後方可成功登入。

4.1 終端訪問管控

雲電腦策略支援通過登入方式管控和雲電腦訪問IP白名單的策略項進行終端訪問管控。建議您合理配置雲電腦策略，確保終端使用者只能登入您指定類型的無影終端，且只能從您指定的IP地址網段串連雲電腦。

• 登入方式管控規則用於限制終端使用者可以使用哪種無影終端串連雲電腦。

  樣本情境：為了保障公司資訊安全，管理員將規則設定為僅允許使用Windows用戶端、macOS用戶端串連雲電腦。

• 雲電腦訪問IP白名單規則用於限制哪些IP位址區段的無影終端可以串連雲電腦。

  樣本情境：為了保障公司資訊安全，管理員將辦公場所的無影終端IP地址網段添加至白名單，因此員工只能通過辦公場所的無影終端串連雲電腦，在其他場所無法串連。

4.2 逾時自動結束登入

該功能預設關閉。開啟後，若終端使用者登入了您指定類型的無影終端，但沒有串連任何雲資源（包括雲電腦、雲應用、雲手機、企業網盤等），則當達到您在此處設定的逾時時間長度，無影終端將自動結束登入，從而有效保護雲資源的資料安全。