乐趣区

关于css:谈身份管理之基础篇-保障云上安全从规范账号使用开始

jiezi

简介：身份和密钥的治理，是企业上云的重中之重；每年国内外都有因为身份和密钥的治理不善，或泄露，或误操作导致重大的生产事变或者数据泄露。本期小编将重点聊聊云上身份的那些值得关注的事儿。

引言

2021 年初，国内一起删库跑路事件的裁决颁布，某企业员工利用其负责公司数据库管理员并把握公司财务零碎 root 权限的便当，登录公司财务零碎服务器删除了财务数据及相干应用程序，以致公司财务零碎无奈登录，最终被判处有期徒刑 7 年。

这起云上安全事故的产生虽是因为歹意人为所导致的，但也裸露了云上身份权限的危险。而身份和密钥的治理，是企业上云的重中之重；每年国内外都有因为身份和密钥的治理不善，或泄露，或误操作导致重大的生产事变或者数据泄露。本期小编将重点聊聊云上身份的那些值得关注的事儿。

第一步，云上平安从保障云账号平安应用开始

咱们开始应用阿里云服务前，首先须要注册一个阿里云账号，它相当于操作系统的 root 或 Administrator，所以有时称它为主账号或根账号。咱们应用阿里云账号进行资源的购买和服务的开明，也同时对名下所有资源领有齐全管制权限。主账号对应着齐全不受限的权限，让咱们列举一下因主账号未标准应用所导致的安全隐患：

× 不要应用主账号进行日常操作：岂但有误操作的危险，还有账号被盗而导致的数据泄露、数据被删除等更大的危险。

× 不要应用主账号的 AccessKey（简称 AK）：在阿里云，用户能够应用 AccessKey 结构一个 API 申请（或者应用云服务 SDK）来操作资源。AK 一旦裸露公网，将失去整个主账号的管制权限，极大概率造成难以评估的损失，并无奈做到及时止血。

第二步，启动 RAM 用户，授予不同权限并调配给不同人员应用

正因为主账号应用危险大，阿里云 RAM 为用户提供权限受控的子账号（RAM SubUser）和角色（RAM Role）拜访云服务，防止让用户间接应用主账号拜访。这期将重点谈谈，利用 RAM 把主账号的权限按需授予账号内的子账号，以及用户常见的问题。

RAM 用户创立与受权

通过 RAM 为名下的不同操作员创立独立的 RAM 用户并授予相应权限。

要点一：员工不要共享账号，包含明码，MFA，AK。

要点二：遵循“最小权限”的受权准则，除此之外，还能够通过限度拜访产生时的环境条件，来保障 RAM 用户的平安应用：

  • 登录场景是否通过 MFA 校验
  • 限度访问者的登录 IP 地址
  • 限度访问者的登录时间段
  • 限度拜访形式（HTTPS/HTTP）

设置适合的明码策略

  • 设置 RAM 用户明码强度

为了爱护账号平安，您能够编辑明码规定，包含明码强度（长度 + 字符）、明码过期策略、反复历史明码策略以及谬误明码最大重试次数策略进行明码设置。

  • 启用多因素认证

为访问者设置 MFA 验证，动静口令将打消明码泄露挫伤。

拜访密钥（AccessKey）的标准应用

拜访密钥（AccessKey）是 RAM 用户的长期凭证。如果为 RAM 用户创立了拜访密钥，RAM 用户能够通过 API 或其余开发工具拜访阿里云资源。AccessKey包含 AccessKey ID 和AccessKey Secret。其中 AccessKey ID 用于标识用户，AccessKey Secret是用来验证用户身份合法性的密钥。

  1. AccessKeySecret 只在首次创立时显示，不提供后续查问：

=====================================

假如通过 API 能够查问到其余的 AccessKeySecret，那所有的 AccessKey 都有泄露的危险，平安问题防不胜防，因而请在创立 AccessKey 时及时保留。

  1. 一个子用户最多领有两个 AccessKey：

=========================

为了保障应用平安，用户应只应用 一个 AK，另外一个 AK 则是用来进行永恒 AK 的定期轮转应用，或者面对泄露状况，进行紧急轮转，已升高损失。

  1. AK 须要定期轮转：

=============

如果您的拜访密钥曾经应用 3 个月以上，建议您及时轮换拜访密钥，升高拜访密钥被泄露的危险。首先创立用于轮换的第二个拜访密钥。再禁用（而不是删除）原来的拜访密钥。而后，验证应用拜访密钥的所有应用程序或零碎是否失常运行。最初删除原来的拜访密钥。

定期审计账号的应用，回收不沉闷的身份密钥

  • 通过 ActionTrail 能够查看用户对资源实例进行操作的记录。
  • 通过用户凭证报告（CredentialReport）全局把控员工的密钥状况：明码登录记录、AK 应用记录、AK 轮转记录。

身份 / 密钥先禁用再删除

身份 / 密钥须要遵循先禁用再删除的准则，防止删除正在只用的 AK，影响业务进度，造成生产事变：

  • 确认密钥不在应用
  • 禁用密钥，随时可复原
  • 密钥禁用一段时间后，确认无任何不良影响，再删除密钥

最佳实际分享：放弃企业云账号最根本的安全性、运维便捷性而进行的最小化配置。

初创企业 IT 治理样板间

初创企业样板间是放弃企业云账号最根本的安全性、运维便捷性而进行的最小化配置，升高初创企业随着规模扩充逐步晋升的云上危险，让初创企业能够疾速实现：

  • 主账号平安
  • 权限可控
  • 网络隔离

同时能够通过控制台操作、Terraform 代码、CLI 代码这 3 种形式进行疾速启用。

原文链接
本文为阿里云原创内容，未经容许不得转载

退出移动版