Elastic Compute Service:Protect Alibaba Cloud accounts and prevent credential leakage

Hesap parolalarını koruyun ve MFA'yı etkinleştirin

• Karmaşık parolalar belirleyin: Zayıf parolalar, hesap ele geçirmelerinin başlıca nedenidir. Kaba kuvvet saldırılarını önlemek için zayıf parolalardan kaçının.

• Parolaları düzenli olarak değiştirin: Uzun süreli kullanım kaynaklı sızıntı riskini azaltmak için parolanızı her 90 günde bir değiştirin.

• MFA'yı etkinleştirin: Alibaba Cloud hesabınız ve RAM kullanıcılarınız için Sanal MFA cihazı ekleme veya kaldırma işlemini tamamlayın. MFA, parola doğrulamasının ötesinde mobil belirteç veya donanım korumalı anahtar gibi dinamik bir doğrulama kodu ekleyerek yetkisiz erişimi engeller.

AccessKey yerine ECS RAM rollerini kullanın

Bir ECS örneği üzerindeki bir uygulamanın ECS ölçeklendirme gibi amaçlarla Alibaba Cloud API'lerini çağırması gerekiyorsa, AccessKey yerine bir RAM rolü kullanın.

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_tea_openapi.models import Config
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526 import models as ecs_models
from alibabacloud_tea_util.models import RuntimeOptions

# Step 1: Obtain an STS token
def get_sts_token():
    config = CredConfig(
        type="ecs_ram_role",
        enable_imds_v1=False
    )
    cred_client = CredClient(config)
    credential = cred_client.get_credential()
    return {
        "AccessKeyId": credential.get_access_key_id(),
        "AccessKeySecret": credential.get_access_key_secret(),
        "SecurityToken": credential.get_security_token()
    }

# Step 2: Initialize the ECS client
def create_ecs_client(sts_token):
    config = Config(
        access_key_id=sts_token["AccessKeyId"],
        access_key_secret=sts_token["AccessKeySecret"],
        security_token=sts_token["SecurityToken"],
        endpoint="ecs.cn-hangzhou.aliyuncs.com"
    )
    return EcsClient(config)

# Step 3: Build the request to create an instance
def build_create_instance_request():
    return ecs_models.RunInstancesRequest(
        region_id="cn-hangzhou",
        image_id="aliyun_3_x64_20G_scc_alibase_20220225.vhd",
        instance_type="ecs.e-c1m2.xlarge",
        security_group_id="sg-bp1esyhwfbqeyudt****",
        v_switch_id="vsw-bp1nzprm8h7mmnl8t****",
        instance_name="sdk-test",
        instance_charge_type="PostPaid",
        key_pair_name="sdk-key-pair",
        system_disk_category="cloud_essd"
    )

# Step 4: Call the API to create the instance
def create_instance(client, request):
    runtime = RuntimeOptions()
    try:
        response = client.run_instances_with_options(request, runtime)
        print("Instance created successfully. Instance ID:", response.body.instance_id_sets.instance_id_set[0])
    except Exception as e:
        print("Failed to create instance. Error message:", e)

# Main function
if __name__ == "__main__":
    sts_token = get_sts_token()  # Obtain an STS token
    ecs_client = create_ecs_client(sts_token)  # Initialize the ECS client
    request = build_create_instance_request()  # Build the request to create an instance
    create_instance(ecs_client, request)  # Call the API to create the instance

AccessKey'leri koruyun ve sızıntı riskini azaltın

AccessKey kullanmanız gerekiyorsa, oluşturma, depolama, dağıtım ve kullanım aşamalarında güvenlik yönetimini güçlendirin.

• Oluşturma: "Kişi başına bir AccessKey, uygulama başına bir AccessKey" ilkesini uygulayın. Birden fazla kullanıcı veya program arasında AccessKey paylaşmayın. Bu sayede, sızıntı durumunda sorumluyu hızla tespit edebilir, etkiyi sınırlandırabilir ve anahtarı döndürebilirsiniz.

• İzin yönetimi: En az ayrıcalık ilkesini takip edin ve yalnızca gerekli izinleri verin. RAM kullanıcılarını kullanın ve izinleri sorumluluklara göre atayın. Alibaba Cloud hesabı AccessKey'ini kullanmaktan kaçının. Ayrıntılı bilgi için bkz. Alibaba Cloud hesabınızı kullanmaktan kaçının ve farklı sorumluluklara sahip RAM kullanıcılarına farklı izinler verin.

• Güvenli depolama: AccessKey'leri aşağıdaki gibi güvenilir ortamlarda saklayın:

  • Yalnızca root veya belirli bir kullanıcı tarafından okunabilen bir dosya.

  • Erişim denetimli bir veritabanı veya Key Management Service (KMS).

  • AccessKey'leri notlarda, kod depolarında, sohbet kayıtlarında veya kişisel imzalarda saklamayın.

• Güvenli dağıtım: Şifrelenmiş AccessKey dosyasını bir kanal üzerinden (örneğin e-posta), şifre çözme parolasını ise ayrı bir kanal üzerinden (örneğin SMS) gönderin.

• Güvenli kullanım: AccessKey'leri kodunuzda sabit olarak tanımlamayın. AccessKey'i ayrı bir yapılandırma dosyasında saklayın, şifreleyin ve güvenilir bir sunucuya kaydedin. Dağıtımdan sonra dosyanın şifresini çözün ve yalnızca sahibinin okuyabileceği şekilde izinleri ayarlayın.

• Ağ erişim kontrolü: RAM konsolunda AccessKey için bir ağ erişim kontrol ilkesi yapılandırın.

• Düzenli döngü ve temizleme

  • Düzenli döngü: Her 90 günde bir AccessKey'inizi döndürün. Yeni bir AccessKey oluşturun ve kullanıcıları güncelleme konusunda bilgilendirin.

  • Düzenli temizleme: RAM konsolundaki AccessKey işlem kayıtlarını kontrol edin ve kullanılmayan anahtarları iptal edin. Ayrıntılı bilgi için bkz. RAM kullanıcısının AccessKey'ini silme.

• AccessKey sızıntısını izleme: Security Center'daki AccessKey sızıntı algılama özelliğini kullanarak bir AccessKey'in sızıp sızmadığını kontrol edin. Bu özellik uyarı bildirimlerini destekler. Sızıntı meydana gelirse, Alibaba Cloud yetki yükseltmeyi önlemek için AccessKey için kısıtlayıcı koruma sağlar.

Uyumluluk