身份与权限
账号设置遵循最小权限原则。
将权限分配给用户组，实现职责分离和方便快速变更权限。
使用RAM用户而不是阿里云账号访问云资源，并合理设置RAM用户权限策略。
访问云资源应使用实例角色或临时凭证（STS）而不是云账号或RAM用户的AccessKey，并尽可能控制权限范围。
定期检查并移除不需要的用户、角色、权限、密钥或凭据，并定期轮换用户和应用程序的密钥。
不要泄露AccessKey ID和AccessKey Secret，不要将AccessKey明文写入到代码中并公开到Github等平台上或存放在可以被其他用户读取到的位置。
定期修改密码、设置密码时需符合密码强度校验。
设置与其他平台不一致的复杂账号密码，避免不慎泄露后影响多个平台中资源的安全。主机上不同账号间不应共享密码或密钥对。
基础设施安全
网络资源隔离的安全建议如下：
设立网络管理员的角色，统一管理安全组、网络ACL以及开启流量日志。
对生产和非生产环境进行隔离。
使用ACL限制不需要公开的任何内容。合理设置安全组，减少攻击面。
网络资源隔离，预设置较大子网，避免子网重叠使用。
针对访问源和访问目的地址而不是资源来配置安全组。公网安全组和私网安全组都只保留业务需要使用的端口。
避免设置
0.0.0.0/0为授权对象，使用0.0.0.0/0意味着所有的端口都对外暴露了访问权限。
数据安全与保护
使用安全的镜像。
对云盘数据进行加密。
对快照进行容灾备份。
监控与审计
定期对账号操作进行审计。
建议使用操作审计等阿里云服务记录当前账号下管理控制台操作和OpenAPI的调用日志。