風(fēng)險(xiǎn)說明

主賬號(hào)AccessKey等同于主賬號(hào)完全管理權(quán)限，而且無法進(jìn)行條件限制（例如：訪問來源IP地址、訪問時(shí)間等），一旦泄露風(fēng)險(xiǎn)極大。

風(fēng)險(xiǎn)等級(jí)

高風(fēng)險(xiǎn)。

最佳實(shí)踐

不使用主賬號(hào)AccessKey。如果存在使用中的主賬號(hào)AccessKey，建議替換為具有適當(dāng)權(quán)限的RAM用戶的AccessKey。

治理建議

根據(jù)不同情況的AccessKey，治理建議分別如下：

• 針對(duì)從未使用的主賬號(hào)AccessKey

  建議您直接禁用該AccessKey。禁用90天后，如果沒有發(fā)生與該AccessKey相關(guān)的問題，則可以直接刪除該AccessKey。

• 針對(duì)超過90天未使用的主賬號(hào)AccessKey

  您需要確認(rèn)該AccessKey是否在程序或應(yīng)用中存在：

  • 如果確認(rèn)不存在，建議您直接禁用該AccessKey。禁用90天后，如果沒有發(fā)生與該AccessKey相關(guān)的問題，則可以直接刪除該AccessKey。

  • 如果確認(rèn)存在，您需要按以下步驟將主賬號(hào)AccessKey替換為具有適當(dāng)權(quán)限的RAM用戶的AccessKey。

    1. 在RAM控制臺(tái)，創(chuàng)建RAM用戶。

       具體操作，請參見創(chuàng)建RAM用戶。

    2. 為RAM用戶授予您程序或應(yīng)用所需的訪問權(quán)限。

       建議您遵循最小化授權(quán)原則為RAM用戶授予恰好夠用的權(quán)限。您可以創(chuàng)建自定義策略，進(jìn)行精細(xì)化授權(quán)。如果您對(duì)自定義策略還不太了解，也可以先使用阿里云定義的系統(tǒng)策略進(jìn)行粗粒度授權(quán)，并在之后基于對(duì)業(yè)務(wù)的進(jìn)一步分析，對(duì)權(quán)限進(jìn)行收縮。具體操作，請參見創(chuàng)建自定義權(quán)限策略和為RAM用戶授權(quán)。

    3. 為RAM用戶創(chuàng)建AccessKey。

       具體操作，請參見創(chuàng)建RAM用戶的AccessKey。

    4. 在程序或應(yīng)用的測試環(huán)境中，將主賬號(hào)AccessKey替換為RAM用戶AccessKey，并驗(yàn)證程序或應(yīng)用可以正常運(yùn)行。

    5. 在程序或應(yīng)用的生產(chǎn)環(huán)境中，將主賬號(hào)AccessKey替換為RAM用戶AccessKey，并驗(yàn)證程序或應(yīng)用可以正常運(yùn)行。

    6. 禁用主賬號(hào)AccessKey。

    7. 禁用90天后，如果沒有發(fā)生與該主賬號(hào)AccessKey相關(guān)的問題，則可以直接刪除該主賬號(hào)AccessKey。

• 針對(duì)90天內(nèi)使用中的AccessKey

  您需要按以下步驟將主賬號(hào)AccessKey替換為具有適當(dāng)權(quán)限的RAM用戶的AccessKey。

  1. 在RAM控制臺(tái)，創(chuàng)建RAM用戶。

     具體操作，請參見創(chuàng)建RAM用戶。

  2. 為RAM用戶授予您程序或應(yīng)用所需的訪問權(quán)限。

     建議您遵循最小化授權(quán)原則為RAM用戶授予恰好夠用的權(quán)限。您可以創(chuàng)建自定義策略，進(jìn)行精細(xì)化授權(quán)。如果您對(duì)自定義策略還不太了解，也可以先使用阿里云定義的系統(tǒng)策略進(jìn)行粗粒度授權(quán)，并在之后基于對(duì)業(yè)務(wù)的進(jìn)一步分析，對(duì)權(quán)限進(jìn)行收縮。具體操作，請參見創(chuàng)建自定義權(quán)限策略和為RAM用戶授權(quán)。

  3. 為RAM用戶創(chuàng)建AccessKey。

     具體操作，請參見創(chuàng)建RAM用戶的AccessKey。

  4. 在程序或應(yīng)用的測試環(huán)境中，將主賬號(hào)AccessKey替換為RAM用戶AccessKey，并驗(yàn)證程序或應(yīng)用可以正常運(yùn)行。

  5. 在程序或應(yīng)用的生產(chǎn)環(huán)境中，將主賬號(hào)AccessKey替換為RAM用戶AccessKey，并驗(yàn)證程序或應(yīng)用可以正常運(yùn)行。

  6. 禁用主賬號(hào)AccessKey。

  7. 禁用90天后，如果沒有發(fā)生與該主賬號(hào)AccessKey相關(guān)的問題，則可以直接刪除該主賬號(hào)AccessKey。

治理難度

治理難度中。