Kimlik ve erişim kontrolü, Alibaba Cloud üzerindeki kullanıcı kimliklerini merkezi olarak yönetmenizi sağlar. Alibaba Cloud'un sunduğu kimlik ve erişim kontrolü yeteneklerini kullanarak yalnızca kimliği doğrulanmış ve yetkilendirilmiş kullanıcıların belirli Alibaba Cloud kaynaklarına erişmesine veya bu kaynakları yönetmesine izin verebilir; yetkisiz kullanıcıların kötü niyetli erişimlerini engelleyebilirsiniz. Böylece uyumluluk ve denetim gereksinimlerini karşılamış olursunuz. Bu konu, Elastic Compute Service (ECS) tarafından kimlik ve erişim kontrolü kapsamında sunulan aşağıdaki güvenlik yeteneklerini açıklar: kimlik doğrulama güvenliğini artırma, erişim kontrolü güvenliğini iyileştirme ve kimlik ile izin güvenliğini güçlendirme.
-
Kimlik doğrulama güvenliğini artırın
Alibaba Cloud hesabınızın güvenliğini artırmak için hesabınızda çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmenizi ve uygulamalarınızda Alibaba Cloud hesabınızın AccessKey çifti yerine bir Resource Access Management (RAM) kullanıcısının AccessKey çiftini kullanmanızı öneririz. Bir AccessKey çifti, bir AccessKey ID ve bir AccessKey secret'tan oluşur. AccessKey çiftlerini harici geliştirme platformlarında düz metin olarak paylaşmayın. Uzun süredir kullanılmayan RAM kullanıcılarını düzenli olarak silin ve süre sınırlı geçici Security Token Service (STS) belirteçleri kullanın.
-
Erişim kontrolü güvenliğini iyileştirin
Farklı sorumluluklara sahip kullanıcılara izin atamak için ECS tarafından önceden tanımlanmış sistem RAM ilkelerini ve özel RAM ilkelerini kullanmanızı öneririz. Alibaba Cloud kaynaklarının kullanımı ve departman yapısı gibi farklı boyutlarda kaynak grupları oluşturarak kaynakları yönetebilir ve farklı kullanıcılara farklı kaynak gruplarına erişim izni verebilirsiniz. Ayrıca Alibaba Cloud kaynaklarını daha ayrıntılı düzeyde yönetmek için etiketlerden yararlanabilirsiniz.
-
Kimlik ve izin güvenliğini güçlendirin
ECS örneklerinde düz metin AccessKey çiftleri kullanmak yerine RAM rolleri eklemenizi öneririz. Ayrıca potansiyel güvenlik risklerini belirlemek ve uyumluluk ile denetim gereksinimlerini karşılamak üzere olay sonrası davranış ve güvenlik analizi yapmak için ActionTrail'i etkinleştirmenizi öneririz .
Kimlik doğrulama güvenliğini artırın
Kimlik doğrulama, bir kullanıcının kimliğini kimlik bilgilerine dayanarak doğrulama sürecidir. Kullanıcılar çoğunlukla ECS örneklerinde oturum açarken kimliklerini doğrulamak için parola veya AccessKey secret kullanır.
MFA'yı etkinleştirin
-
Özellik tanıtımı
MFA, kullanıcı adı ve parolanın yanı sıra ek bir koruma katmanı sağlayan, kullanımı kolay ve etkili bir kimlik doğrulama modelidir. MFA, konsol oturumu başlatan veya hassas işlemler yapan kullanıcıları doğrular. Bu sayede Alibaba Cloud hesabınızın güvenliği sağlanır. MFA, AccessKey çiftleriyle yapılan API çağrılarını etkilemez. Daha fazla bilgi için bkz. Çok faktörlü kimlik doğrulama nedir?.
-
Yapılandırma yöntemi
ECS örneğinde oturum açmak için Alibaba Cloud hesabınızın AccessKey çiftini kullanmamanızı öneririz. Bunun yerine, Alibaba Cloud hesabınızı korumak amacıyla kullanıcı adı ve parolaya ek olarak ekstra bir güvenlik katmanı sağlamak için MFA'yı etkinleştirmenizi öneririz. Alibaba Cloud hesabınızda MFA'yı etkinleştirdikten sonra ECS örneğinde oturum açarken MFA cihazından gelen bir kimlik doğrulama kodu girmeniz istenir. Daha fazla bilgi için bkz. Alibaba Cloud hesabına MFA cihazı bağlama.
Alibaba Cloud hesapları yerine RAM kullanıcıları kullanın ve gerekli RAM ilkelerini RAM kullanıcılarına ekleyin
ECS kaynaklarına yönelik erişim izinlerinin en az ayrıcalık ilkesine göre RAM kullanıcılarına verildiğinden emin olun. Hesapları paylaşmayın veya gerekenden fazla izin vermeyin.
Birden fazla ECS örneği satın aldıysanız ve kuruluşunuzdaki birden fazla kullanıcı (örneğin çalışanlar, sistemler veya uygulamalar) bu örnekleri kullanacaksa kuruluşunuzdaki kullanıcılar için RAM kullanıcıları oluşturabilir ve bu RAM kullanıcılarına örneklerine erişim izni vermek için RAM ilkeleri ekleyebilirsiniz. Bu yaklaşım, AccessKey çifti sızdırma riskini ortadan kaldırır ve ECS kaynaklarında hesap düzeyinde ayrıntılı erişim kontrolü sağlar. Daha fazla bilgi için bkz. RAM kullanıcıları.
RAM, kimlik doğrulaması ve yetkilendirmesi yapılabilen aşağıdaki kimlik türlerini sunar: fiziksel kimlikler olan RAM kullanıcıları ve sanal kimlikler olan RAM rolleri. Sanal kimliklerin etkili olabilmesi için fiziksel kimlikler tarafından üstlenilmesi gerekir. Daha fazla bilgi için bkz. Kimlikler.
AccessKey çifti sızmasını önleyin
AccessKey çiftleri, Alibaba Cloud hesaplarının API'lere erişmesi için kullanılan kimlik bilgileridir ve güvenli bir konumda saklanmalıdır. Kötü niyetli kullanım kaynaklı güvenlik tehditlerini önlemek için AccessKey çiftlerinizi GitHub gibi platformlarda hiçbir şekilde paylaşmayın. Bir Alibaba Cloud hesabının AccessKey çifti ifşa edilirse hesaptaki kaynaklar riske girer. AccessKey çifti sızması riskini en aza indirmek için aşağıdaki güvenlik önerilerini uygulayın:
AccessKey çiftlerini koda gömmeyin.
AccessKey çiftlerini düzenli olarak döndürün.
Gereksiz AccessKey çiftlerini düzenli olarak iptal edin.
En az ayrıcalık ilkesine göre RAM kullanıcıları kullanın.
Belirli genel IP adreslerinden Alibaba Cloud API'lerine erişimi kontrol etmek için
acs:SourceIpparametresini yapılandırın.Özelliklere ve kaynaklara HTTPS üzerinden erişildiğini belirtmek için
acs:SecureTransportparametresini true olarak ayarlayın.
Erişim kontrolü güvenliğini iyileştirin
Farklı sorumluluklara sahip kullanıcılara izin verin
RAM, kuruluşunuzdaki birden fazla kullanıcı kaynakları iş birliği içinde yönetirken Alibaba Cloud hesabınızı ve AccessKey çiftinizi gizli tutmanıza olanak tanır. Ayrıca yüksek güvenliği sağlamak için kullanıcılara gereken minimum izinleri vermenize yardımcı olur.
Varsayılan olarak bir Alibaba Cloud hesabı, hesaptaki kaynaklar üzerinde tüm izinlere sahiptir; ancak bu hesap tarafından oluşturulan RAM kullanıcılarının herhangi bir izni yoktur. Alibaba Cloud hesabı, RAM kullanıcılarına izin vermelidir. Bir RAM kullanıcısına veya role izin vermek için aşağıdaki adımları izleyin:
-
İlkeleri seçin veya oluşturun.
RAM, sistem ve özel ilkeleri destekler. Sistem ilkeleri Alibaba Cloud tarafından oluşturulur ve korunur. Sistem ilkelerini kullanabilirsiniz ancak bunları değiştiremezsiniz. Özel ilkeler kullanıcı tarafından tanımlanan ilkelerdir. Özel ilkeleri oluşturabilir, güncelleyebilir ve silebilirsiniz.
ECS için sistem ilkeleri hakkında bilgi edinmek için bkz. ECS için sistem ilkeleri.
ECS için özel ilkeler hakkında bilgi edinmek için bkz. ECS için özel ilkeler.
-
RAM kullanıcısına veya role izin verin.
Bir Alibaba Cloud hesabındaki bir RAM kullanıcısına veya role izin vermek için bir veya daha fazla sistem ya da özel ilke ekleyebilirsiniz. RAM kullanıcısına veya role, Alibaba Cloud hesabındaki tüm kaynaklar veya hesaptaki belirli bir kaynak grubundaki tüm kaynaklar üzerinde izin verebilirsiniz.
Bir RAM kullanıcısına nasıl izin verileceği hakkında bilgi edinmek için bkz. RAM kullanıcıları.
Bir RAM rolüne nasıl izin verileceği hakkında bilgi edinmek için bkz. RAM rolleri.
Kaynakları ayrıntılı bir şekilde yönetmek için kaynak gruplarını kullanın
-
Özellik tanıtımı
Kaynak grupları, Alibaba Cloud kaynaklarınızı kaynakların kullanımı, izinleri ve sahipleri gibi farklı kriterlere göre gruplar halinde düzenlemenize olanak tanır. Birden fazla kullanıcı ve projedeki kaynakları hiyerarşik bir şekilde yönetmek için kaynak grupları oluşturabilirsiniz. Her bulut kaynağı yalnızca bir kaynak grubuna ait olabilir. Kaynakları kaynak gruplarına eklemek, kaynaklar arasındaki ilişkileri değiştirmez. Örneğin üretim ortamında kullanılan örnekleri Production Environment adlı bir kaynak grubuna, hazırlama ortamında kullanılan örnekleri ise Test Environment adlı bir kaynak grubuna ekleyebilirsiniz. Daha fazla bilgi için bkz. Kaynak Grubu nedir?
-
Yapılandırma yöntemi
Bir kaynak grubunun nasıl oluşturulacağı hakkında bilgi edinmek için bkz. Kaynak grubu oluşturma.
-
ECS örneklerini kaynak gruplarına ekleyin.
Bir örneği oluştururken bu örneği bir kaynak grubuna ekleyebilirsiniz. Daha fazla bilgi için bkz. Custom Launch sekmesinde örnek oluşturma.
Mevcut ECS örneklerini bir kaynak grubundan başka bir kaynak grubuna taşıyabilirsiniz. Daha fazla bilgi için bkz. Kaynak grupları arasında manuel kaynak aktarma gerçekleştirme.
Kaynak gruplarını kullanarak ECS kaynaklarını kategorize etme ve yönetme kullanım senaryoları için bkz. Bir RAM kullanıcısına belirli bir ECS örneğini yönetme izni vermek için kaynak grubu kullanma ve ECS örneklerinin maliyetlerini kaynak grubuna göre tahsis etme.
Kaynakları ayrıntılı bir şekilde yönetmek için etiketleri kullanın
-
Özellik tanıtımı
Etiketler, kaynaklarınızı bölge, departman ve ortam gibi farklı boyutlarda kaynak gruplarına göre daha esnek bir şekilde kategorize etmenize olanak tanır. Her kaynağa birden fazla etiket ekleyebilir ve etiketlere dayalı olarak ECS kaynaklarına erişimi kontrol edebilirsiniz. Daha fazla bilgi için bkz. Etiket nedir?
-
Yapılandırma yöntemi
Bir etiketin nasıl oluşturulacağı ve bu etiketin bir ECS örneğine nasıl ekleneceği hakkında bilgi edinmek için bkz. Etiketler.
Etiketleri kullanarak ECS kaynaklarını kategorize etme ve yönetme kullanım senaryoları için bkz. Gruplar halinde ECS örneklerine erişim izni vermek için etiketleri kullanma ve RAM kullanıcılarının yalnızca yetkili ECS örneklerini yönetmesini sağlamak için etiketleri kullanma.
Kimlik ve izin güvenliğini güçlendirin
AccessKey çiftleri yerine örnek RAM rolleri kullanın
-
Özellik tanıtımı
Çoğu durumda ECS örneklerine dağıtılan uygulamalar, bir Alibaba Cloud hesabının veya RAM kullanıcısının AccessKey çiftini kullanarak diğer Alibaba Cloud hizmetlerinin API'lerine erişir. API işlemlerini çağırmak için bir ECS örneğinde AccessKey çiftini kullanmadan önce bu AccessKey çiftini örnekte yapılandırmanız gerekir. Örneğin AccessKey çiftini örneğin bir yapılandırma dosyasına yazabilirsiniz. Ancak bu uygulama kullanıcılara gerekenden fazla izin verir ve bilgi sızıntısı ile bakım karmaşıklığının artması gibi sorunlara yol açabilir. Bu sorunları çözmek için Alibaba Cloud örnek RAM rolleri sunar. Örnek RAM rollerini kullanarak AccessKey çiftlerinizin güvenliğini sağlayabilir ve RAM aracılığıyla ayrıntılı erişim kontrolü ve izin yönetimi yapabilirsiniz.
-
Yapılandırma yöntemi
Geçici bir erişim kimlik bilgisi olarak STS belirteci almak ve ardından bu geçici erişim kimlik bilgisini örnekte kullanarak diğer Alibaba Cloud hizmetlerinin API'lerine erişmek için bir ECS örneğine bir örnek RAM rolü ekleyebilirsiniz. AccessKey çifti sağlamanıza gerek kalmadan geçici erişim kimlik bilgilerini yalnızca bir ECS örneği içinden alabilirsiniz. Bu yöntem, Alibaba Cloud hesabınızın AccessKey çiftinin güvenliğini sağlar ve RAM kullanarak ayrıntılı erişim kontrolü ve izin yönetimi yapmanıza olanak tanır. Daha fazla bilgi için bkz. Örnek RAM rolleri.