安全最佳實務

身份與許可權

• 帳號設定遵循最小許可權原則。

• 將許可權分配給使用者組，實現職責分離和方便快速變更許可權。

• 使用RAM使用者而不是阿里雲帳號訪問雲資源，併合理設定RAM使用者權限策略。

• 訪問雲資源應使用執行個體角色或臨時憑證（STS）而不是雲帳號或RAM使用者的AccessKey，並儘可能控制許可權範圍。

• 定期檢查並移除不需要的使用者、角色、許可權、密鑰或憑據，並定期輪換使用者和應用程式的密鑰。

• 不要泄露AccessKey ID和AccessKey Secret，不要將AccessKey明文寫入到代碼中並公開到Github等平台上或存放在可以被其他使用者讀取到的位置。

• 定期修改密碼、設定密碼時需符合密碼強度校正。

• 設定與其他平台不一致的複雜帳號密碼，避免不慎泄露後影響多個平台中資源的安全。主機上不同帳號間不應共用密碼或金鑰組。

基礎設施安全

網路資源隔離的安全建議如下：

• 設立網路系統管理員的角色，統一管理安全性群組、網路ACL以及開啟流量日誌。

• 對生產和非生產環境進行隔離。

• 使用ACL限制不需要公開的任何內容。合理設定安全性群組，減少攻擊面。

• 網路資源隔離，預設定較大子網，避免子網重疊使用。

• 針對訪問源和訪問目的地址而不是資源來配置安全性群組。公網安全性群組和私網安全性群組都只保留業務需要使用的連接埠。

• 避免設定0.0.0.0/0為授權對象，使用0.0.0.0/0意味著所有的連接埠都對外暴露了存取權限。

資料安全與保護

• 使用安全的鏡像。

• 對雲端硬碟資料進行加密。

• 對快照進行容災備份。

監控與審計

定期對帳號操作進行審計。

建議使用Action Trail等阿里雲服務記錄當前帳號下管理主控台操作和OpenAPI的調用日誌。