Data Management (DMS) ve Data Disaster Recovery hizmetlerine doğrudan Alibaba Cloud hesabınızla erişmekten kaçının. Bunun yerine Resource Access Management (RAM) kullanıcılarını veya RAM rollerini kullanın. Bu yaklaşım, yanlışlıkla yapılan veya yetkisiz işlemlerin etki alanını sınırlar ve ekibiniz genelinde ayrıntılı erişim denetimi uygulamanızı sağlar.
Bir kimlik türü seçin
RAM üç temel kimlik öğesi sunar. Durumunuza hangisinin uygun olduğuna karar vermek için aşağıdaki tabloyu kullanın.
| Kimlik türü | Nedir | En uygun olduğu durumlar |
|---|---|---|
| RAM user | Kalıcı kimlik bilgilerine (kullanıcı adı/parola veya AccessKey çifti) sahip, adlandırılmış bir kimlik | Bireysel ekip üyeleri (konsol erişimi) ve uygulama süreçleri (API erişimi) |
| RAM user group | Aynı izin ilkelerini paylaşan RAM kullanıcıları koleksiyonu | Ekiplerin veya işlevlerin izinlerini büyük ölçekte yönetme |
| RAM role | Kalıcı kimlik bilgisi olmayan sanal bir kimlik; Security Token Service (STS) belirteçleri aracılığıyla geçici erişim sağlar | Hesaplar arası erişim, otomatik iş yükleri ve birleşik kimlik senaryoları |
RAM kullanıcıları
Bir RAM kullanıcısını bir Alibaba Cloud hesabı veya zaten yönetici izinlerine sahip herhangi bir RAM kullanıcısı ya da RAM rolü oluşturabilir. Uygun ilkeler verildikten sonra RAM kullanıcısı Alibaba Cloud Management Console'da oturum açabilir veya o hesaptaki kaynaklarda API işlemlerini çağırabilir.
İnsan kullanıcıları servis hesaplarından ayırın
Bir RAM kullanıcısı oluştururken Access Mode parametresini aşağıdakilerden birine ayarlayın:
| Erişim modu | Kimlik bilgisi türü | Kullanım amacı |
|---|---|---|
| Console Access | Kullanıcı adı ve parola | İnteraktif olarak oturum açan insan ekip üyeleri |
| Using permanent AccessKey to access | AccessKey çifti | API'leri çağıran uygulamalar ve otomatik süreçler |
Tek bir RAM kullanıcısında her iki modu da karıştırmak mümkündür ancak gereksiz risk oluşturur. İnsan kullanıcıları ve servis hesaplarını ayrı tutun; böylece tehlikeye girmiş bir uygulama kimlik bilgisi konsolda oturum açmak için kullanılamaz (veya tam tersi).
RAM kullanıcıları için güvenlik kontrol listesi
Maruz kalma riskinizi azaltmak için şu uygulamaları izleyin:
Yönetici RAM kullanıcısıyla başlayın. Alibaba Cloud hesabınızı kullanarak yönetici izinlerine sahip bir RAM kullanıcısı oluşturun, ardından diğer tüm RAM kullanıcılarını oluşturmak ve yönetmek için bu RAM kullanıcısını kullanın.
Konsol kullanıcıları için çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin. Özellikle yüksek ayrıcalıklı olanlar dahil olmak üzere konsol erişimi bulunan her RAM kullanıcısı için MFA'yı etkinleştirmenizi öneririz.
En az ayrıcalık ilkesini uygulayın. Yalnızca belirli bir görev için gerekli izinleri verin. Normal kullanıcılara
AdministratorAccessgibi geniş kapsamlı ilkeler atamaktan kaçının. DMS'ye özgü ilkeler için bkz. DMS özel ilkeleri.Kimlik bilgilerini asla kod içine gömmeyin. Bir AccessKey ID'sini veya AccessKey secret'ını kaynak koduna sabit kodlamak, sürüm kontrolü veya günlük dosyaları yoluyla ifşa edilme riski taşır. Bunun yerine STS belirteçlerini veya ortam değişkenlerini kullanın.
Kuruluşunuzda mevcut bir kimlik sağlayıcısı varsa tek oturum açmayı (SSO) etkinleştirin. SSO, RAM kullanıcılarının ayrı Alibaba Cloud parolalarını yönetmek yerine kurumsal kimlik sisteminiz üzerinden kimlik doğrulaması yapmasını sağlar. Kurulum ayrıntıları için bkz. Kullanıcı tabanlı SSO'ya genel bakış.
İlgili konular: RAM kullanıcılarına genel bakış ve Kimlik bilgisi güvenlik çözümleri
RAM kullanıcı grupları
İzinleri her bir kullanıcı yerine grup düzeyinde yönetebilmeniz için RAM kullanıcılarını işlevlerine göre gruplayın. Örneğin, DBA ekibiniz için bir grup veritabanı yazma ilkesini barındırırken salt okunur analiz grubu daha dar kapsamlı bir ilke barındırabilir. Yeni biri katıldığında onu doğru gruba eklemeniz yeterlidir; kullanıcı başına ilke değişikliği gerekmez.
Aşağıdaki örnek, bir DMS ekibi için grupların nasıl tasarlanacağını göstermektedir:
| Grup | Tipik üyeler | İlke kapsamı |
|---|---|---|
| DMS yöneticileri | Kıdemli DBA'ler, platform sahipleri | Tam DMS yönetim izinleri |
| DMS okuma-yazma | Uygulama geliştiricileri | Belirli veritabanlarına okuma ve yazma erişimi |
| DMS salt okunur | Analistler, denetçiler | Belirli veritabanlarına salt okunur erişim |
Grup izinlerini yönetme
İzin kümesinin tutarlı kalması için izinleri içindeki bireysel kullanıcılara değil, gruba verin.
Bir ekip üyesinin rolü değiştiğinde eski rolündeki son gününden önce onu mevcut gruptan çıkarın ve uygun olana ekleyin.
Artık ihtiyaç duyulmadığında bir grubun izinlerini hemen iptal edin.
İlgili konular: RAM kullanıcı grubuna genel bakış
RAM rolleri
RAM rolü, kalıcı kimlik bilgisi olmayan sanal bir kimliktir; oturum açma parolası veya AccessKey çifti bulunmaz. Bir RAM rolünü kullanmak için güvenilir bir varlığın bu rolü üstlenmesi gerekir. Rolü üstlendikten sonra güvenilir varlık, sınırlı bir süre boyunca o rol olarak Alibaba Cloud kaynaklarına erişim sağlayan bir STS belirteci alır.
Bu durum, RAM rollerini aşağıdakiler için uygun kılar:
Otomatik iş yükleri — uzun ömürlü kimlik bilgilerini depolamadan geçici erişime ihtiyaç duyan bir hizmet veya işlem hattı.
Hesaplar arası erişim — başka bir Alibaba Cloud hesabındaki bir varlığa, sizin hesabınızdaki kaynaklara kontrollü erişim sağlama.
Birleşik erişim — harici bir kimlik sağlayıcısı tarafından kimliği doğrulanmış kullanıcıların bir RAM rolünü üstlenerek Alibaba Cloud kaynaklarına erişmesine olanak tanıma.
RAM rolleri için güvenlik kontrol listesi
Oluşturma sırasında güvenilir varlığı kilitleyin. Bir RAM rolünün güvenilir varlığını sonradan değiştirmek, izin kaybı veya istenmeyen ayrıcalık yükselmesi riski taşır. Rolü oluşturmadan önce güvenilir varlığa karar verin, kapsamlı testler yapın ve üretim ortamında bunu değiştirmekten kaçının.
-
Uygun bir STS belirteci geçerlilik süresi ayarlayın. Bir STS belirteci, en fazla RAM rolünde yapılandırılan maksimum oturum süresi kadar geçerlidir. Bir belirtecin tehlikeye girmesi durumunda maruz kalma penceresini daraltmak için her iki değeri de iş yükünüzün izin verdiği kadar kısa tutun.
Bir RAM rolünü üstlenmek için güvenilir varlık AssumeRole API işlemini çağırır ve geçici bir STS belirteci alır.
Kuruluşunuz birleşik bir kimlik sistemi kullanıyorsa RAM rolleri için SSO'yu etkinleştirin. Bu, çalışanların ayrı Alibaba Cloud kimliklerini yönetmek yerine kurumsal kimlik sağlayıcınız üzerinden oturum açarak doğrudan RAM rollerini üstlenmelerini sağlar. Ayrıntılar için bkz. Rol tabanlı SSO.
İlgili konular: RAM rolüne genel bakış, Bir RAM rolü üstlenme ve Bir RAM rolü için maksimum oturum süresini belirtme