Elastic Compute Service:Avoid using your Alibaba Cloud account and grant role-based permissions to RAM users

Alibaba Cloud hesabınızı koruyun

1. MFA'yı etkinleştirin: Alibaba Cloud hesabınıza sanal bir MFA cihazı ekleyin. Bu işlem, parola doğrulamasının üzerine dinamik bir doğrulama kodu (mobil belirteç veya donanımsal korumalı anahtar) ekleyerek parolanızın sızdırılması durumunda yetkisiz erişimi önler.

2. Oturum açma davranışını yönetin:

   • Risk kontrolünü yapılandırın: Oturum açma sıklığını sınırlandırın. Yalnızca bir RAM yöneticisi oluşturma veya bir hizmeti etkinleştirme gibi gerekli durumlarda oturum açın.

   • Bir oturum açma maskesi ayarlayın veya temizleyin: Konsola erişime yalnızca belirli IP adreslerinden izin verin.

   • Oturum süresini ayarlayın: Varsayılan 48 saatlik otomatik oturum kapatma süresini 4 saate veya daha azına düşürün.

3. Alibaba Cloud hesabınızın AccessKey'ini devre dışı bırakın: Bunun yerine, bir RAM kullanıcısı oluşturun ve en az ayrıcalık ilkesine dayalı olarak izinler verin.

4. Düzenli olarak denetleyin ve izleyin: Alibaba Cloud hesabınızın oturum açma olaylarını izlemek ve anormal davranışları kontrol etmek için ActionTrail hizmetini kullanın.

5. Günlük işlemler için RAM kullanıcılarını kullanın: Hesap yöneticisi olarak bir RAM kullanıcısı oluşturun. Farklı roller için ayrı RAM kullanıcıları oluşturun ve ihtiyaca göre izinler verin.

RAM kullanıcılarını ve erişim kontrolünü planlayın

Hesapları, rolleri ve izinleri iş sorumluluklarına göre oluşturun. Aşağıdaki örnek, tipik bir kurumdaki rol atamalarını göstermektedir:

1. Hesap yöneticisi

   Yalnızca RAM kullanıcıları, rolleri ve erişim izinlerini oluşturmak için kullanılır. Bu hesaba AliyunRAMFullAccess iznini verin. Diğer Alibaba Cloud hizmetlerinin kaynaklarını doğrudan yönetemese de yetkili hesaplar oluşturabilir. Bu yüksek derecede hassas bir hesaptır; aşağıdaki şekilde koruyun:

   • Hesap için bir AccessKey oluşturmayın.

   • Aynı izinlere sahip RAM rolleri oluşturmayın.

   • MFA'yı etkinleştirin ve oturum açma için kaynak IP adreslerini kısıtlayın.

2. Kaynak yöneticisi

   ECS örnekleri, VPC'ler, vSwitch'ler, ağ arabirim kartları, diskler, güvenlik grupları, anlık görüntüler ve görüntüler gibi kaynakları oluşturmak ve yönetmek için kullanılır. AliyunECSFullAccess, AliyunVPCFullAccess ve AliyunEIPFullAccess ilkelerini verin. Bir ECS örneğine bir RAM rolü eklemek için sts:AssumeRole iznini de verin.

   Öneri : Birçok bulut kaynağı için kaynakları yalıtmak amacıyla kaynak gruplarını kullanın. İzinleri yatay olarak ayırmak için her kaynak grubu adına ayrı bir ECS kaynak yöneticisi hesabı oluşturun.

3. Bakım mühendisi

   ECS örneklerinde oturum açan ve bu örnekleri işleten (örneğin başlatan ve durduran) kullanıcılara atanır. Kaynakları, ağ arabirim kartlarını veya diskleri değiştirme izni verilmez. RAM izinlerini aşağıdaki gibi özelleştirin:

   {
     "Version": "1",
     "Statement": [
       // 1. Read-only permissions to view resource status
       {
         "Effect": "Allow",
         "Action": [
           // View ECS resources
           "ecs:DescribeInstances",        // View instance status
           "ecs:DescribeInstanceStatus",   // Query instance status information
           "ecs:DescribeNetworkInterfaces", // View network interface card status
           "ecs:DescribeDisks",            // View disk status (inferred from the document context)
           "ecs:DescribeSecurityGroups",   // View security group status
           "ecs:DescribeSecurityGroupReferences", // Query authorized security groups
           // View VPCs and vSwitches
           "vpc:DescribeVpcs",             // Query VPC status
           "vpc:DescribeVSwitches",        // Query vSwitch status
           "vpc:DescribeVSwitchAttributes" // Query detailed vSwitch configurations
         ],
         "Resource": "*"  // Allows access to all resources
       },
       // 2. Workbench permissions (logon and read)
       {
         "Effect": "Allow",
         "Action": [
           "ecs-workbench:LoginInstance",  // Permission to log on to an instance using Workbench
           "ecs:DescribeTerminalSessions"  // View Workbench session records
         ],
         "Resource": "*"
       },
       // 3. Cloud Assistant permissions (read, log on, and execute commands)
       {
         "Effect": "Allow",
         "Action": [
           // Read permissions for Cloud Assistant
           "ecs:DescribeCommands",         // View the list of commands
           "ecs:DescribeInvocations",       // View command execution records
           "ecs:DescribeInvocationResults", // View command execution results
           "ecs:DescribeCloudAssistantStatus", // Query the status of Cloud Assistant
           // Permissions to execute commands using Cloud Assistant
           "ecs:InvokeCommand",             // Execute a command
           "ecs:RunCommand"                 // Immediately execute a command
         ],
         "Resource": "*",
         // Restricts command execution to regular users (security best practice)
         "Condition": {
           "StringNotEqualsIgnoreCase": {
             "ecs:CommandRunAs": ["system", "root"]  // Prohibits the use of the root or system account
           }
         }
       }
     ]
   }

   Not: Bu ilkedede "Resource": "*" ifadesi tüm örneklerin yönetilmesine izin verir. Riskleri azaltmak için:

   Aşağıdakileri göz önünde bulundurun:

   • İşlem kapsamını sınırlamak için kaynak gruplarını veya etiketleri kullanın.

   • İzinleri ihtiyaca göre vermek için joker karakterler yerine ayrıntılı kaynak ARN'lerini kullanın.

4. Uygulama rolü

   Uygulamaların da OSS ve Simple Log Service (SLS) gibi Alibaba Cloud hizmetlerine erişmesi gerekebilir. Her uygulama için özel bir hesap veya rol oluşturun. Kullanıcılar ve uygulamalar arasında veya farklı uygulamalar arasında hesap paylaşımı yapmayın:

   • Uygulama hesabının konsolda oturum açmasını yasaklayın.

   • Uygulamanız ECS'de (konteyner hizmeti dahil) dağıtılıyorsa AccessKey kullanmayın. Bunun yerine örneğe bir RAM rolü ekleyin.

Merkezi kimlik yönetimi için CloudSSO kullanın

Aşağıdaki durumlardan herhangi biri geçerliyse CloudSSO kullanın:

• Birden fazla çalışanın aynı izinlere sahip RAM hesaplarına ihtiyacı vardır.

• Birden fazla çalışan tek bir RAM hesabını paylaşmaktadır.

• Çalışanlar AccessKey'ler veya oturum açma parolaları gibi bulut platformu kimlik bilgilerini sızdırabilir.

CloudSSO, bir kaynak dizinine (RD) dayanan çok hesaplı birleşik kimlik yönetimi ve erişim kontrolü hizmetidir. Kullanıcılar tek bir kimlik bilgisi setiyle bir kez oturum açar ve parolaları yeniden girmeden birden fazla bulut uygulamasına erişir. Kurumsal kullanıcıları Alibaba Cloud üzerinde merkezi olarak yönetmek için CloudSSO'yu kullanın. Kurumsal kimlik yönetim sisteminiz ile Alibaba Cloud arasında SSO'yu yapılandırdıktan sonra, tüm RD hesaplarındaki erişim izinlerini merkezi olarak atayabilirsiniz.

• Bulut kimlik bilgisi gerekmez: Çalışanların artık Alibaba Cloud oturum açma parolalarına veya AccessKey'lere ihtiyacı yoktur; bu durum kimlik bilgisi sızdırma riskini azaltır.

• Birleşik kimlik doğrulama: Kullanıcılar sorunsuz bir deneyim için dahili kurumsal hesaplarla (şirket e-postaları veya Active Directory hesapları gibi) oturum açar.

• Merkezi izin yönetimi: Erişim yapılandırmalarını kullanarak rol izinlerini kullanıcılara veya kullanıcı gruplarına ayrıntılı kontrol ile merkezi olarak atayın.

• Standart protokol desteği: SAML 2.0 protokolüne dayalı kurumsal Kimlik Sağlayıcıları (IdP) ile entegre olur.

Ayrıntılar için bkz. CloudSSO'ya başlayın.

Alibaba Cloud hesabınız tarafından gerçekleştirilen işlemleri kontrol edin