简介：身份和密钥的管理是最重要的密钥管理不善、泄露、误用都可能导致严重的生产事故或数据泄露。本期小编就来重点聊一聊云上身份那些值得关注的地方。简介2021年初，中国一起删库跑路案宣判。某企业员工利用公司数据库管理员的身份，掌握公司财务系统root权限，登录公司财务系统服务器，删除财务数据及相关应用。公司财务系统无法登录，最终被判7年有期徒刑。此次云上安全事件的发生虽然是恶意人士所为，但也暴露了云上身份和权限的风险。身份和密钥的管理是企业上云的重中之重；每年，国内外都有因身份和密钥管理不善、泄露或误用等原因导致的严重生产事故或数据泄露事件。本期小编就来重点聊一聊云上身份那些值得关注的地方。第一步，云上的安全从确保云账户的安全使用开始。在开始使用阿里云服务之前，我们首先需要注册一个阿里云账号，相当于操作系统的root或者Administrator，所以有时也被称为主账号或者root账号。我们使用阿里云账号来购买资源和开通服务，我们也对我们名下的所有资源拥有完全的控制权。主账号对应完全无限权限。不规范使用主账号带来的安全隐患列举如下：×不使用主账号进行日常操作：不仅有误用风险，还有账号被盗的风险。存在较大的数据泄露、数据删除等风险×不要使用主账号的AccessKey（简称AK）：在阿里云中，用户可以使用AccessKey构造API请求（或使用云服务SDK)来操作资源。AK一旦暴露在公网，将失去整个主账户的控制权，极有可能造成不可估量的损失，且无法及时止血。第二步，启动RAM用户，赋予不同的权限，分配给不同的人员。由于主账号的使用存在风险，阿里云RAM为用户提供访问云服务的权限受控的子账号（RAMSubUser）和角色（RAMRole），避免让用户直接使用主账号访问。本期将重点介绍使用RAM根据需要将主账号的权限授予账号内的子账号，以及用户常见的问题。RAM用户创建及授权通过RAM为名下的不同运营商创建独立的RAM用户，并授予相应的权限。要点一：员工不得共享账号，包括密码、MFA、AK。要点2：遵循“最小权限”的授权原则。此外，您还可以限制访问发生时的环境条件，以保证RAM用户的安全使用：登录场景是否通过MFA验证，限制访问者的登录IP地址，限制访问者的登录时间段，限制访问方式。(HTTPS/HTTP)设置合适的密码策略设置RAM用户密码强度为保护账号安全，您可以编辑密码规则，包括密码强度（长度+字符数）、密码过期策略、重复密码策略历史密码策略和密码错误密码最大重试策略设置。启用多因素认证并为访问者设置MFA验证，动态密码将杜绝密码泄露带来的危害。访问密钥（AccessKey）的使用说明访问密钥（AccessKey）是RAM用户的长期凭证。如果为RAM用户创建访问密钥，RAM用户可以通过API或其他开发工具访问阿里云资源。AccessKey包括AccessKeyID和AccessKeySecret。AccessKeyID用来标识用户，AccessKeySecret是用来验证用户身份合法性的密钥。AccessKeySecret只在第一次创建时显示，后续查询不可用：========================================假设其他的AccessKeySecret可以通过API查询，所有的AccessKey都有泄露的风险，安全问题难以避免，所以创建AccessKey的时候请及时保存。一个子用户最多可以有两个AccessKey：==========================为保证使用安全，用户只能使用一个AK，和另一个AK用于永久AK的定期轮换，或者在漏电的情况下紧急轮换，减少损失。AK需要定期轮换：=============如果您的accesskey已经使用超过3个月，建议您及时轮换accesskey，降低被轮换的风险访问密钥被泄露。首先创建第二个轮换访问密钥。然后禁用（而不是删除）原始访问密钥。然后，验证使用访问密钥的任何应用程序或系统是否正常运行。最后删除原来的accesskey。定期审核账户使用情况，回收不活跃的身份密钥。通过ActionTrail可以查看用户对资源实例的操作记录。通过用户凭证报告（CredentialReport）全局掌控员工关键情况：密码登录记录、AK使用记录、AK轮换记录。先禁用身份/密钥，然后再删除身份/密钥。应遵循先禁用后删除身份/密钥的原则，避免只删除正在使用的AK，影响业务进度，造成生产事故：确认密钥未使用。禁用的密钥可以随时恢复。禁用密钥一段时间后，确认无不良影响后，再删除密钥。初创企业IT治理样板房初创企业样板房是维护企业云账号最基本安全和运维便捷性的最低配置。快速实现：主账号安全权限可控，通过控制台操作、Terraform代码、CLI代码三种方式快速开启网络隔离。原文链接本文为阿里云原创内容，未经允许不得转载
