谈身份管理之基础篇 - 保障云上安全，从[规范账号使用]开始

简介： 身份和密钥的管理，是企业上云的重中之重；每年国内外都有因为身份和密钥的管理不善，或泄露，或误操作导致严重的生产事故或者数据泄露。本期小编将重点聊聊云上身份的那些值得关注的事儿。

引言

2021年初，国内一起删库跑路事件的判决公布，某企业员工利用其担任公司数据库管理员并掌握公司财务系统root权限的便利，登录公司财务系统服务器删除了财务数据及相关应用程序，致使公司财务系统无法登录，最终被判处有期徒刑7年。

 

这起云上安全事故的发生虽是由于恶意人为所导致的，但也暴露了云上身份权限的风险。而身份和密钥的管理，是企业上云的重中之重；每年国内外都有因为身份和密钥的管理不善，或泄露，或误操作导致严重的生产事故或者数据泄露。本期小编将重点聊聊云上身份的那些值得关注的事儿。

 

第一步，云上安全从保障云账号安全使用开始

我们开始使用阿里云服务前，首先需要注册一个阿里云账号，它相当于操作系统的root或Administrator，所以有时称它为主账号或根账号。我们使用阿里云账号进行资源的购买和服务的开通，也同时对名下所有资源拥有完全控制权限。主账号对应着完全不受限的权限，让我们列举一下因主账号未规范使用所导致的安全隐患：

× 不要使用主账号进行日常操作：不但有误操作的风险，还有账号被盗而导致的数据泄露、数据被删除等更大的风险。

× 不要使用主账号的AccessKey（简称AK）：在阿里云，用户可以使用AccessKey构造一个API请求（或者使用云服务SDK）来操作资源。AK一旦暴