Kimlik, bir sistemdeki kullanıcıyı benzersiz şekilde tanımlar. Sistem, kullanıcının izinlerini kimliğine göre belirler. Alibaba Cloud aşağıdaki kimlik türlerini destekler: Alibaba Cloud hesabı, Resource Access Management (RAM) kullanıcısı ve RAM rolü.
Alibaba Cloud hesabı
Alibaba Cloud hesabı; Alibaba Cloud kaynaklarının mülkiyeti ile kaynak kullanımının ölçümleme ve faturalandırması için temel varlıktır. Bir Alibaba Cloud hesabı, hesap içindeki tüm kaynakların kullanımı için ücretlendirilir ve kaynaklar üzerinde tam yetkilere sahiptir. Zorunlu olmadıkça Alibaba Cloud Management Console'a oturum açmak ve API işlemlerini çağırmak için RAM kullanıcısı veya RAM rolü kullanmanızı öneririz.
RAM kullanıcısı
RAM kullanıcısı; sabit bir ID ve kimlik bilgisine sahip, bir kişiyi veya uygulamayı temsil eden fiziksel bir kimliktir. Temel özellikleri şunlardır:
RAM kullanıcısı, bir Alibaba Cloud hesabı tarafından veya yönetici haklarına sahip bir RAM kullanıcısı ya da RAM rolü tarafından oluşturulabilir. Her iki durumda da oluşturulan RAM kullanıcısı, oluşturanın Alibaba Cloud hesabına ait olur.
RAM kullanıcısı kaynaklara sahip değildir. Tüm kullanım ücretleri üst Alibaba Cloud hesabına faturalandırılır. RAM kullanıcıları fatura alamaz veya ödeme yapamaz.
RAM kullanıcılarının konsola oturum açabilmesi veya API işlemlerini çağırabilmesi için yetkilendirilmesi gerekir. Yetkilendirmeden sonra üst Alibaba Cloud hesabına ait kaynaklara erişebilirler.
RAM kullanıcılarının oturum açmak için bağımsız parolaları veya AccessKey çiftleri vardır.
Bir Alibaba Cloud hesabı; çalışanları, sistemleri ve uygulamaları temsil etmek üzere birden çok RAM kullanıcısı oluşturabilir.
Daha fazla bilgi için bkz. Genel Bakış.
Öneriler
Her geliştirici için ayrı bir RAM kullanıcısı oluşturun
Farklı geliştiriciler için bölgelerine, hizmetlerine, geliştirme ortamlarına ve organizasyonlarına göre birden çok RAM kullanıcısı oluşturabilirsiniz. Ayrıntılı ayrımın avantajı, farklı RAM kullanıcılarının iş sahipliği sınırlarının net olmasıdır; bu durum tanımlama ve işlem analizini kolaylaştırır.
Bir RAM kullanıcısını paylaşmanın dezavantajları:
Anormal bir işlem gerçekleştirildiğinde, işlemi yapan RAM kullanıcısı belirlenebilir. Ancak RAM kullanıcısı birden çok organizasyon veya kişi tarafından paylaşıldığından, işlemi gerçekleştiren belirli organizasyon veya kişinin tespit edilmesi neredeyse imkansızdır.
Bir RAM kullanıcısının AccessKey çifti sızarsa, AccessKey çiftini en kısa sürede devre dışı bırakmanız gerekir. RAM kullanıcısı birden çok geliştirici tarafından paylaşılıyorsa ve AccessKey çifti uygulamalarınızda sabit kodlanmışsa, AccessKey çiftini tüm koddan kaldırana kadar devre dışı bırakamazsınız. Bu durum sistem için kritik tehditler oluşturur.
Konsol kullanıcılarını API kullanıcılarından ayırın
Bir RAM kullanıcısı için hem konsol işlemleri amacıyla bir oturum açma parolası hem de API işlemleri amacıyla bir AccessKey çifti aynı anda oluşturmanızı önermiyoruz. Bu yaklaşım, RAM kullanıcılarının hatalı işlemleri nedeniyle işinizin etkilenmesini önler.
Öneriler:
Bir uygulamanın API işlemlerini çağırarak kaynaklara erişmesine izin vermek için, yalnızca uygulamanın RAM kullanıcısı için bir AccessKey çifti başvurusunda bulunmanız yeterlidir.
Bir çalışanın konsolda kaynakları yönetmesine izin vermek için, yalnızca çalışanın RAM kullanıcısı için bir oturum açma parolası ayarlamanız yeterlidir.
RAM rolü
Örneğin, Alibaba Cloud Hesabı A, a_rr1 adlı RAM rolünü oluşturur, Object Storage Service (OSS) üzerinde FullAccess iznini bu role verir ve ardından bu rolü Alibaba Cloud Hesabı B'nin b_ru1 RAM kullanıcısına atar. Bu sayede geliştiriciler, b_ru1 RAM kullanıcısı olarak konsola oturum açabilir ve a_rr1 RAM rolünü üstlenerek A Hesabının OSS kaynaklarını yönetebilir.