Resource Access Management:Secure your cloud resources

Alibaba Cloud hesabının root kullanıcısını kullanmaktan kaçının

Alibaba Cloud'a kayıt olduğunuzda bir Alibaba Cloud hesabı oluşturulur. Bireysel geliştiriciler kişisel gerçek ad doğrulaması ekleyebilir. Kurumsal hesaplar ise gerçek ad doğrulama, faturalama, sözleşme ve fatura bilgilerini destekler.

Her Alibaba Cloud hesabında, hesap kullanıcı adı ve parolasıyla giriş yapan bir root kullanıcı bulunur. Root kullanıcının kullanılması aşağıdaki riskleri doğurur:

• Tam yetki ifşası: Root kullanıcı tüm hesap izinlerine sahiptir. Kullanıcı adı ve parolanın sızması durumunda tüm kaynaklarınız ifşa olur.

• Parola sızıntısı riski: Birden fazla çalışan root kullanıcısını paylaşırsa herkes hesap kimlik bilgilerini bilir; bu da sızıntı olasılığını artırır.

• Denetim izi eksikliği: Birden fazla çalışan root kullanıcısını paylaşırsa günlüklerde bireysel operatörlerin kimliği belirlenemez.

Root kullanıcı için bir AccessKey çifti oluşturmak ek riskler getirir:

• Tam yetki ifşası: Root kullanıcı AccessKey çifti tüm hesap izinlerine sahiptir. Bir sızıntı durumunda tüm kaynaklarınız ifşa olur.

• Sızıntı durumunda operasyonel ikilem: AccessKey çifti kalıcı bir kimlik bilgisidir. Çevrimiçi iş yüklerinde kullanılan root kullanıcı AccessKey çifti sızarsa bunu devre dışı bırakmak iş yüklerini kesintiye uğratır. Aktif bırakmak ise sınırsız izinlerin açıkta kalmasına neden olur.

Alibaba Cloud hesabınızı güvence altına almak için:

• Hesap kimlik bilgilerini yalnızca yöneticide tutun. Birden fazla çalışan arasında paylaşmayın.

• Root kullanıcıya, hesap parolasının ötesinde ekstra bir koruma katmanı sağlamak amacıyla Universal 2nd Factor (U2F) güvenlik anahtarı bağlayın.

• Yalnızca gerekli olduğunda Alibaba Cloud hesabı kimlik bilgileriyle giriş yapın.

• Bir Alibaba Cloud hesabının AccessKey çiftini kullanmaktan kaçının.

Alibaba Cloud'a erişmek için RAM kimliklerini kullanın

Alibaba Cloud kaynaklarına erişmesi gereken çalışanlara ve programlara RAM kimlikleri atayın. Rutin işletme ve bakım işlemleri için Alibaba Cloud hesabınızı kullanmadan ayrıntılı erişim kontrolü uygulamak üzere RAM kullanıcıları oluşturun ve ilke ekleyin. Daha fazla bilgi için bkz. RAM kullanıcısı oluşturma.

• Çalışanlardan gelen erişim: SSO önerilir. SSO kullanılamıyorsa parola tabanlı konsol girişi etkinleştirirken bir MFA cihazı bağlayın. Birden fazla çalışan arasında tek bir RAM kullanıcısı paylaşmayın; paylaşılan kimlik bilgileri sızıntı risklerini artırır, denetim sırasında kimlik tespiti yapılmasını engeller ve yönetimi karmaşıklaştırır.

• Programlardan gelen erişim: Alibaba Cloud üzerinde dağıtılan programlar için kimlik bilgisi sızıntısı risklerini azaltmak amacıyla STS belirteçleri (geçici kimlik bilgileri) önerilir. Daha fazla bilgi için bkz. Alibaba Cloud OpenAPI'ye erişim için en iyi uygulamalar. Programlar Alibaba Cloud üzerinde dağıtılmamışsa veya geliştirme ve hata ayıklama için AccessKey çiftlerine ihtiyaç duyuluyorsa RAM kullanıcıları için AccessKey çiftleri oluşturun. Daha fazla bilgi için bkz. RAM kullanıcısı için AccessKey oluşturma. Her RAM kullanıcısı en fazla iki AccessKey çiftini destekler; biri iş amaçlı, diğeri rotasyon içindir. Daha fazla bilgi için bkz. RAM kullanıcısı için AccessKey rotasyonu.

SSO kullanın

Çalışan erişimi için SSO önerilir. SSO etkinleştirildikten sonra tüm dahili hesaplar kurumsal kimlik sisteminiz üzerinden doğrulanır ve RAM kullanıcıları Alibaba Cloud'a dahili hesaplarını kullanarak erişir. Alibaba Cloud'daki RAM kullanıcıları için parola belirlemeniz gerekmez, bu da sızıntı risklerini azaltır. Daha fazla bilgi için bkz. SSO'ya genel bakış.

RAM kullanıcıları için bir parola politikası yapılandırın

SSO kullanılamıyorsa çalışanların parolayla giriş yapması için RAM kullanıcıları oluşturun. RAM konsolunda parola uzunluğunu, gerekli karakter türlerini ve geçerlilik süresini belirtmek üzere bir parola politikası yapılandırın. Daha fazla bilgi için bkz. RAM kullanıcıları için parola politikası yapılandırma. Bir RAM kullanıcısının parolasını değiştirme yetkisi varsa güçlü bir parola oluşturmalı ve bunu düzenli olarak değiştirmelidir.

RAM kullanıcıları için MFA'yı etkinleştirin

Kullanıcı adları ve parolaların ötesinde ekstra bir koruma katmanı eklemek için RAM kullanıcılarında MFA'yı etkinleştirin.

MFA etkinleştirildikten ve bir MFA cihazı bağlandıktan sonra, bir RAM kullanıcısı Alibaba Cloud'a giriş yaptığında veya konsolda hassas işlemler yaptığında iki kimlik doğrulama faktörü sağlamalıdır:

1. Birinci faktör: Kullanıcı adını ve parolayı girin.

2. İkinci faktör: Sanal bir MFA cihazı tarafından oluşturulan veya güvenli bir e-posta adresine gönderilen doğrulama kodunu girin ya da passkey kimlik doğrulaması yapın.

17 Mart 2025 tarihinden itibaren tüm RAM kullanıcıları için varsayılan olarak giriş MFA'sı etkinleştirilmiştir. Parola sızıntısı risklerini azaltmak için bu varsayılan ayarı korumanızı öneririz. Tüm RAM kullanıcılarının her konsol girişinde MFA yapmasını istemiyorsanız RAM kullanıcı oturum açma parametresi için MFA ayarını Yalnızca anormal oturum açma durumunda olarak belirleyin. RAM kullanıcılarının yine de MFA cihazları bağlaması gerekir ancak MFA yalnızca Alibaba Cloud anormallik algıladığında zorunlu olur, bu da kimlik doğrulama sıklığını azaltır. Daha fazla bilgi için bkz. RAM kullanıcısı için MFA cihazı bağlama.

Giriş için passkey kullanın

Passkey'ler, parolaların yerini alabilen güvenli bir kimlik doğrulama yöntemidir. RAM kullanıcıları giriş ve MFA için passkey kullanabilir. Daha fazla bilgi için bkz. Passkey nedir?. Passkey'ler, giriş veya MFA için cihazın yerleşik kimlik doğrulama özelliklerinden —parmak izi, yüz tanıma veya PIN— yararlanır. Daha fazla bilgi için bkz. RAM kullanıcıları için passkey yönetimi.

• Passkey tabanlı giriş için MFA gerekmez.

• Passkey kullanılamadığında parola tabanlı giriş için yedek olarak bir MFA cihazı bağlayın.

RAM kullanıcılarını gruplandırın

Hesabınızda birden fazla RAM kullanıcısı varsa bunları sorumluluk alanlarına göre gruplandırın ve izinleri grup düzeyinde verin. Daha fazla bilgi için bkz. Genel bakış, RAM kullanıcı grubu oluşturma ve RAM kullanıcı grubuna izin verme.

Konsol girişi için kullanılan kaynak IP adreslerini sınırlayın

Erişimi güvenilir ağ ortamlarıyla kısıtlamak için yalnızca belirtilen IP adreslerinin veya CIDR bloklarının Alibaba Cloud Yönetim Konsolu'na giriş yapmasına izin veren ağ erişim kontrolü ilkelerini yapılandırın. Daha fazla bilgi için bkz. Ağ erişim kontrolü ayarları.

Programlardan gelen erişim için geçici kimlik bilgileri kullanın

Bir AccessKey çifti (AccessKey ID + AccessKey secret), Alibaba Cloud hesapları ve RAM kullanıcıları için kalıcı bir kimlik bilgisidir. Yanlış kullanım, kimlik bilgilerinin sızması riskini doğurur; örneğin, geliştiricilerin düz metin AccessKey çiftlerini kod içine sabit kodlayıp GitHub gibi herkese açık bir depoya aktarması durumunda.

Kalıcı AccessKey çiftleri yerine, geçici bir STS belirteci elde etmek için bir RAM rolü üstlenin. STS belirteçleri, RAM rolünün maksimum oturum süresi dolduğunda otomatik olarak sona erer ve bu durum kimlik bilgisi sızıntısı risklerini önemli ölçüde azaltır.

Alibaba Cloud üzerinde dağıtılan programlar için AccessKey çiftleri yerine STS belirteçlerini kullanın. Daha fazla bilgi için bkz. Alibaba Cloud OpenAPI'ye erişim için en iyi uygulamalar.

Düz metin AccessKey çiftlerinin sabit kodlanmasından kaçının

Geliştiriciler düz metin AccessKey çiftlerini koda sabit kodlayıp GitHub gibi bir depoya aktarır veya paylaşırsa kimlik bilgileri sızar.

Bir AccessKey çifti gerekiyorsa bunu yönetmek için Alibaba Cloud Credentials aracını, Key Management Service (KMS) veya sistem ortam değişkenlerini kullanın. Daha fazla bilgi için bkz. RAM gizli dizilerini yönetme ve kullanma. Bir AccessKey çifti sızarsa en kısa sürede değiştirin. Daha fazla bilgi için bkz. Alibaba Cloud OpenAPI'ye erişim için en iyi uygulamalar.

Artık gerekmeyen RAM kullanıcılarını ve AccessKey çiftlerini kaldırın

İşten ayrılan çalışanların veya eski ortakların RAM kullanıcıları ve AccessKey çiftleri kaldırılmazsa bu kimlikler kurumsal cloud kaynaklarına hala erişebilir ve kimlik bilgisi hırsızlıkları fark edilmeyebilir.

Eylül 2024'ten itibaren Alibaba Cloud, kullanılmayan RAM kullanıcılarını ve AccessKey çiftlerini otomatik olarak devre dışı bırakma özelliğini kademeli olarak uygulamaktadır. Bu özellik, uygun AccessKey çiftlerini günlük bazda devre dışı bırakır. İki yıl içinde giriş yapmamış bir RAM kullanıcısı kullanılmıyor olarak kabul edilir. İki yıl içinde kullanılmamış bir AccessKey çifti de kullanılmıyor olarak kabul edilir.

AccessKey çifti tabanlı API çağrıları için kullanılan kaynak IP adreslerini sınırlayın

API çağrılarını yalnızca belirtilen IP adresleriyle kısıtlamak ve API çağrılarını güvenilir ağ ortamlarıyla sınırlamak için AccessKey çifti tabanlı ağ erişim kontrolü ilkelerini yapılandırın. Daha fazla bilgi için bkz. AccessKey ağ ACL ilkesi.

• Bir AccessKey çifti sızdıysa veya sızma ihtimali varsa yalnızca güvenilir ağlardan gelen API çağrılarına izin veren ve şüpheli harici çağrıları engelleyen bir ağ erişim kontrolü ilkesi yapılandırın.

• Her hesap için ağ koşullarını denetleyin ve şüpheli harici çağrıları önlemek amacıyla hesap düzeyinde veya AccessKey çifti düzeyinde ağ erişim kontrolü ilkeleri yapılandırın.