ENS:Kimlik yönetimi

RAM kullanıcıları

RAM kullanıcıları, Alibaba Cloud hesapları veya yönetici haklarına sahip RAM kullanıcıları ve RAM rolleri tarafından oluşturulabilir. Gerekli izinler verildikten sonra bir RAM kullanıcısı, ait olduğu Alibaba Cloud hesabı içindeki Alibaba Cloud kaynaklarına erişmek için Alibaba Cloud Management Console konsolunu kullanabilir veya API işlemlerini çağırabilir.

Aşağıdaki noktaları dikkate almanızı öneririz:

• Alibaba Cloud hesabınızla bir RAM kullanıcısı oluşturun ve bu kullanıcıya yönetici haklarını verin. Daha sonra, diğer RAM kullanıcılarını oluşturup yönetmek için bu RAM kullanıcısını kullanabilirsiniz.

• Bireysel RAM kullanıcılarını programlar için kullanılan RAM kullanıcılarından ayırın.

  Bir RAM kullanıcısı oluştururken, Access Mode parametresi için Console Access, Using permanent AccessKey to access seçeneklerinden birini veya her ikisini seçebilirsiniz.

  Kaynaklara erişmek için konsol erişimi amacıyla atanmış bir RAM kullanıcısı, kullanıcı adı ve parolasıyla Alibaba Cloud Management Console konsolunda oturum açar; AccessKey çifti tabanlı erişim için atanmış bir RAM kullanıcısı ise API çağrıları yapar. İstenmeyen işlemlerin etkilerini önlemek amacıyla bireysel RAM kullanıcılarını programlar için kullanılanlardan ayırmanızı öneririz. Konsol erişimi için atanmış bir RAM kullanıcısında çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmenizi tavsiye ederiz.

• İzinleri RAM kullanıcılarına en az ayrıcalık ilkesine göre verin.

  En az ayrıcalık izinleri, bir işlemi gerçekleştirmek için gereken minimum izinleri ifade eder. Bu yaklaşım veri güvenliğini artırır ve izin kötüye kullanımını önler.

• AccessKey ID'nizi veya AccessKey secret anahtarınızı kod içine gömmeyin; bu durum AccessKey çiftinin sızmasına neden olabilir. Bir AccessKey çiftinin sızması, hesabınızdaki tüm kaynaklar için güvenlik riski oluşturur. Erişim izinlerini almak için Security Token Service (STS) belirteçlerini kullanmanızı veya ortam değişkenlerini yapılandırmanızı öneririz.

• Uygun olduğunda, RAM kullanıcıları için tek oturum açma (SSO) özelliğini etkinleştirerek kurumsal kimlik yönetim sistemlerinden Alibaba Cloud kaynaklarında oturum açmalarına ve erişim sağlamalarına olanak tanıyın.

RAM kullanıcı grupları

Alibaba Cloud hesabınızla birden fazla RAM kullanıcısı oluşturduysanız, izin yönetimini kolaylaştırmak için bu kullanıcıları gruplayabilirsiniz. Örneğin, aynı RAM kullanıcı grubundaki kullanıcılara aynı izinleri verebilirsiniz. Aşağıdaki hususları göz önünde bulundurmanızı öneririz:

• İzinleri RAM kullanıcı gruplarına en az ayrıcalık ilkesine göre atayın.

• RAM kullanıcısının iş sorumlulukları değiştiğinde, kullanıcıyı ilgili RAM kullanıcı grubundan çıkarın.

• RAM kullanıcı gruplarının artık ihtiyaç duymadığı izinleri iptal edin.

RAM rolleri

RAM rolü, iliştirilmiş ilkelere sahip bir RAM kimlik türüdür. Bir RAM kullanıcısının aksine bir rol tek bir kişiye veya uygulamaya bağlı değildir; güvenilir herhangi bir asıl kimlik bu rolü üstlenebilir. Rollerde parolalar veya AccessKey çiftleri gibi uzun ömürlü kimlik bilgileri bulunmaz. Bir asıl kimlik bir rolü üstlendiğinde, Security Token Service (STS) yalnızca o oturum için geçerli olan geçici güvenlik kimlik bilgileri oluşturur.

Şu noktaları dikkate almanızı öneririz:

• Bir RAM rolü oluşturulduktan sonra rolün güvenilir varlığını sık sık değiştirmeyin. Güvenilir varlığı değiştirmek izin kaybına yol açarak iş süreçlerinizi etkileyebilir. Yeni bir güvenilir varlık eklemek ise yetki yükseltme nedeniyle güvenlik riskleri doğurabilir. Değişiklikleri bir RAM rolüne uygulamadan önce kapsamlı şekilde test ettiğinizden emin olun.

• Güvenilir bir varlığa izin verildiğinde, bu varlık AssumeRole işlemini çağırarak bir RAM rolünü üstlenmek için kullanılabilecek bir STS belirteci elde edebilir. Daha fazla bilgi için bkz. AssumeRole. Bir STS belirteci yalnızca sınırlı bir süre boyunca geçerlidir. Güvenlik risklerini azaltmak amacıyla geçerlilik süresini uygun bir değer olarak ayarlamanızı öneririz.

  Not

  Bir STS belirtecinin maksimum geçerlilik süresi, RAM rolü için belirtilen maksimum oturum süresidir. Güvenlik risklerini azaltmak üzere RAM rolü için maksimum oturum süresini uygun bir değere ayarlamanızı öneririz.

• Uygun olduğunda, RAM rolleri için tek oturum açma (SSO) özelliğini etkinleştirerek kurumsal kimlik yönetim sistemlerinden Alibaba Cloud kaynaklarında oturum açmalarına ve erişim sağlamalarına olanak tanıyın.