本文介绍如何通过RAM限制只有启用了多因素认证(MFA)的RAM用户才能访问云资源,例如:ECS。
前提条件
- 创建自定义策略前,需要先了解权限策略语言的基本结构和语法。更多信息,请参见权限策略基本元素和权限策略语法和结构。
- 操作前,请在移动设备端下载并安装Google Authenticator应用。下载方式如下:
- iOS:在App Store中搜索Google Authenticator。
- Android:在应用市场中搜索Google Authenticator。
说明 Android版Google Authenticator还依赖外部二维码扫描组件,所以您还需要在应用市场中搜索并安装条行码扫描器。
步骤一:创建自定义策略
- 使用阿里云账号登录RAM控制台。
- 在左侧导航栏,选择。
- 在权限策略页面,单击创建权限策略。
- 在创建权限策略页面,单击脚本编辑页签。
- 输入权限策略内容,然后单击下一步:编辑基本信息。
策略内容示例:只有启用了MFA的RAM用户才能在控制台访问ECS资源。您可以通过设置Condition
下acs:MFAPresent
的值为true
来实现。
{
"Statement": [
{
"Action": "ecs:*",
"Effect": "Allow",
"Resource": "*",
"Condition": {
"Bool": {
"acs:MFAPresent": "true"
}
}
}
],
"Version": "1"
}
说明 Condition
(限制条件)只针对当前权限策略描述的操作有效。您可以根据实际情况修改策略内容,限制访问其他云资源。
- 输入权限策略名称和备注。
- 检查并优化权限策略内容。
- 单击确定。
步骤二:创建RAM用户
- 使用阿里云账号登录RAM控制台。
- 在左侧导航栏,选择。
- 在用户页面,单击创建用户。
- 在创建用户页面的用户账号信息区域,输入登录名称和显示名称。
- 在访问方式区域,选择访问方式。
- 控制台访问:设置控制台登录密码、重置密码策略和多因素认证策略。
说明 自定义登录密码时,密码必须满足密码复杂度规则。关于如何设置密码复杂度规则,请参见
设置RAM用户密码强度。
- OpenAPI调用访问:自动为RAM用户生成访问密钥(AccessKey),支持通过API或其他开发工具访问阿里云。
说明 为了保障账号安全,建议仅为RAM用户选择一种登录方式,避免RAM用户离开组织后仍可以通过访问密钥访问阿里云资源。
- 单击确定。
步骤三:为RAM用户授权
将步骤一创建的自定义策略授予步骤二创建的RAM用户。
- 使用阿里云账号登录RAM控制台。
- 在左侧导航栏,选择。
- 在用户页面,单击目标RAM用户操作列的添加权限。
- 在添加权限面板,为RAM用户添加权限。
- 选择授权应用范围。
- 整个云账号:权限在当前阿里云账号内生效。
- 指定资源组:权限在指定的资源组内生效。
说明 指定资源组授权生效的前提是该云服务已支持资源组。
更多信息,请参见支持资源组的云服务。
- 输入授权主体。
授权主体即需要授权的RAM用户,系统会自动填入当前的RAM用户,您也可以添加其他RAM用户。
- 选择权限策略。
说明 每次最多绑定5条策略,如需绑定更多策略,请分次操作。
- 单击确定。
- 单击完成。
步骤四:为RAM用户启用MFA
为步骤二创建的RAM用户启用MFA。
- 阿里云账号或RAM管理员登录RAM控制台。
- 在左侧导航栏,选择。
- 在用户登录名称/显示名称列,单击目标RAM用户名称。
- 单击认证管理页签,然后单击虚拟MFA页签。
- 单击启用虚拟MFA。
- 在移动设备端,添加虚拟MFA设备。
说明 如下以iOS系统上的Google Authenticator应用为例。
- 登录Google Authenticator应用。
- 单击开始使用,选择合适的方式添加虚拟MFA设备。
- 扫码添加(推荐):单击扫描二维码,然后扫描从RAM控制台扫码获取页签下的二维码。
- 手动添加:先单击输入设置密钥,然后填写从RAM控制台手输信息获取页签下的账号和密钥,最后单击添加。
- 在RAM控制台,输入移动设备端显示的两组连续的动态验证码,然后单击确定绑定。