Başka bir gerekçe olmadıkça bulut hizmetlerine erişmek için Alibaba Cloud hesabınızı doğrudan kullanmaktan kaçının. Bunun yerine, günlük erişim için Resource Access Management (RAM) kullanıcılarını veya RAM rollerini kullanın.
RAM kullanıcısı
RAM kullanıcıları; Alibaba Cloud hesapları, yönetici izinlerine sahip RAM kullanıcıları veya RAM rolleri tarafından oluşturulur. Yetkilendirmeden sonra bir RAM kullanıcısı konsola oturum açabilir veya üst düzey Alibaba Cloud hesabındaki kaynaklara erişmek için API işlemlerini çağırabilir.
En iyi uygulamalar:
Yönetici izinlerine sahip bir RAM kullanıcısı oluşturun ve diğer RAM kullanıcılarını oluşturmak ile yönetmek için bu kullanıcıyı kullanın.
-
Bireylere ait RAM kullanıcılarını programlara ait RAM kullanıcılarından ayırın.
RAM kullanıcılarını RAM console üzerinden veya by calling an API operation oluşturabilirsiniz. Konsol, Alibaba Cloud hesap kimlik bilgilerinizi gerektirirken API bir AccessKey çifti gerektirir. İnsan ve programatik RAM kullanıcılarının ayrılması yanlışlıkla yapılan işlemleri önler. Konsol tabanlı RAM kullanıcıları için MFA'yı etkinleştirin.
-
RAM kullanıcılarına en az ayrıcalık ilkesine dayalı izinler verin.
Veri güvenliğini artırmak ve izin kötüye kullanımını önlemek için her işlemde yalnızca gerekli minimum izinleri verin.
AccessKey çiftlerini asla kod içine gömmeyin. Sızdırılan bir AccessKey çifti, hesabınızdaki tüm kaynakları ifşa eder. Bunun yerine STS belirteçlerini veya ortam değişkenlerini kullanın.
RAM kullanıcıları için SSO'yu etkinleştirerek kurumsal kimlik sistemleri aracılığıyla Alibaba Cloud konsoluna erişmelerini sağlayın.
İlgili işlemler
RAM kullanıcı grubu
İzin yönetimini basitleştirmek için RAM kullanıcılarını gruplandırın. Bir RAM kullanıcı grubundaki tüm üyelere aynı izinleri verebilirsiniz. En iyi uygulamalar:
RAM kullanıcı gruplarına en az ayrıcalık ilkesine dayalı izinler verin.
Görevleri değiştiğinde bir RAM kullanıcısını gruptan çıkarın.
Bir RAM kullanıcı grubundan gereksiz izinleri iptal edin.
İlgili işlemler
RAM rolü
RAM rolü, ekli ilkelere sahip bir RAM kimlik türüdür. Bir RAM kullanıcısından farklı olarak bir rol tek bir kişiye veya uygulamaya bağlı değildir; güvenilir herhangi bir ana öğe bu rolü üstlenebilir. Roller, parolalar veya AccessKey çiftleri gibi uzun vadeli kimlik bilgilerine sahip değildir. Bir ana öğe bir rolü üstlendiğinde Güvenlik Belirteci Hizmeti (STS), yalnızca o oturum için geçerli olan geçici güvenlik kimlik bilgileri oluşturur.
En iyi uygulamalar:
Oluşturulduktan sonra bir RAM rolünün güvenilir varlığını sık sık değiştirmeyin. Güvenilir bir varlığı değiştirmek işinizi etkileyebilecek izin kaybına neden olabilir; yeni bir tane eklemek ise ayrıcalık yükseltme riskleri getirebilir. Tüm değişiklikleri uygulamadan önce test edin.
-
Gerekli izinlere sahip güvenilir bir varlık, bir RAM rolünü üstlenmek için zaman sınırlı bir STS belirteci almak amacıyla AssumeRole işlemini çağırabilir. Güvenlik risklerini azaltmak için belirteç geçerlilik süresini uygun bir değere ayarlayın.
NotBir STS belirtecinin maksimum geçerlilik süresi, RAM rolü için belirtilen en uzun oturum süresidir. Güvenlik risklerini azaltmak için uygun bir oturum süresi belirtin.
RAM rolleri için SSO'yu etkinleştirerek kullanıcıların kurumsal kimlik sistemleri aracılığıyla Alibaba Cloud konsoluna erişmelerini sağlayın.