最小化原則
安全最小化原則是最基本的原則之一，對外提供的服務越少，安全風險越小。當企業雲端式的SaaS、PaaS、IaaS構建業務系統時，需時刻遵循安全最小化原則，包括：
網路最小化原則：儘可能少的開放公網訪問入口，儘可能小範圍的控制連接埠開放，儘可能的使用VPC或子網對網路進行最小分段，並進行網段的隔離和監控；
身份最小化原則：儘可能的減少系統管理員，以角色和許可權綁定的思路賦予使用者身份；
許可權最小化原則：原則上儘可能的以白名單模式開放許可權，即僅允許特定的最小許可權。但這往往在實際落地過程中難以落實，但這是安全設計的重要原則之一。
RAM使用者權限最小化原則：通常建議使用RAM使用者進行身份管理，並進行RAM使用者權限的細粒度分配；
AccessKey許可權最小化原則：在一些最佳實務中，是不建議在雲帳號下建立 AccessKey，通常建議在RAM使用者或可被監控和許可權可控的帳號下申請AccessKey用於自動化調用。
審計可追溯原則
儘可能確保所有來自使用者端的訪問請求留有審計記錄，以便於在發生網路攻擊事件時，能夠通過雲資源動作記錄、雲資源訪問日誌以及變更日誌還原攻擊事件，追溯攻擊過程，以便於企業判斷和定位攻擊事件的等級、影響和損失。
資料安全保護原則
基於安全責任共擔模型，資料安全的體系建設同樣劃分為租戶和雲平台，租戶側建立資料安全保護體系建議參考如下原則進行設計：
資料的分類分級原則：企業應結合實際應用和業務特性，有意識的建立資料分類分級制度和體系，分類分級是個長期且動態工作，也是開展分級保護的第一步；
資料的存取控制和許可權最小化原則：企業應結合實際商務程序，梳理資料訪問的使用者身份、目的、許可權、途徑，並通過相關技術控制手段對許可權、訪問途徑進行管理；
待用資料保護原則：要對靜態儲存的資料進行訪問認證、資料加密；
動態資料保護原則：要對資料流動的通道、流動中的資料進行傳輸加密和資料加密；
資料審計原則：原則上要對資料的訪問、操作和移動進行全面的審計；
資料共用原則：識別資料共用途徑和方式，如通過API、SDK等途徑線上擷取和共用資料，通過離線共用資料，這些共用訪問需要進行識別和建立相關的保護措施；
資料合規性原則：應重視資料合規，拆解滿足合規要求所需要的技術控制措施和管理措施，並納入到企業資料安全體系建設的規劃中。
合規性原則
企業在中國內地地區，中國香港、中國澳門和中國台灣地區以及海外地區基於阿里雲基礎設施構建的業務系統和對外提供的服務，應充分考慮當地的法律法規要求。在安全架構設計過程中，應充分分析和理解法規要求，並標記能夠滿足法規要求的相關技術控制措施，和管理控制措施。以便在安全能力建設時，清楚的認識和明確雲廠商能夠提供什麼樣的產品及服務來為企業滿足合規要求。