谈AK管理之进阶篇 - 如何有效控制云上[最后一把密钥]的风险？

阿里云云栖号

于 2021-03-23 09:29:59 发布

阅读量4.3w

点赞数

分类专栏：云栖号技术分享文章标签：信息安全云栖社区

本文链接：https://blog.csdn.net/yunqiinsight/article/details/115109782

版权

本文介绍了如何通过阿里云的RAM角色和STS临时访问密钥来解决AK（访问密钥）泄露风险。基础方案是使用短期、权限可控的STS令牌替代长期访问密钥，进阶方案则是利用实例RAM角色，使得ECS实例能免密获取STS令牌，进一步提升安全性。这种方法降低了长期访问密钥的使用，强化了权限管理和安全控制。

摘要由CSDN通过智能技术生成

简介： 上一期“谈AK管理之基础篇”，我们讲了如何规范的进行访问密钥生命周期管理。通过分出不同权限的阿里云RAM子账号，将不同的权限分给不同的用户，这样一旦子账号泄露也不会造成全局的信息泄露。但是，由于子账号在一般情况下是长期有效的，因此，子用户的访问密钥也是不能泄露的。

上一期“谈AK管理之基础篇”，我们讲了如何规范的进行访问密钥生命周期管理。通过分出不同权限的阿里云RAM子账号，将不同的权限分给不同的用户，这样一旦子账号泄露也不会造成全局的信息泄露。但是，由于子账号在一般情况下是长期有效的，因此，子用户的访问密钥也是不能泄露的。

AK通常的泄露途径会有哪些呢？我们先从用户的使用方式来分析和发现：

很多用户对访问密钥的安全意识不够或者没有意识到风险，为了使用方便，会直接把访问密钥的二元组写在代码里，供程序使用；在现在反编译和内存分析的技术已经很成熟的当下，硬编码的方式无异于明文存储密钥，有巨大的泄露风险。

还有很多客户了解访问密钥的重要性，会使用第三方的密钥存储系统或者配置文件，将原始的密钥加密起来。这种方式的做法加延了密钥泄露的链路，但本质上只是原始密钥泄露的风险转移到另外一把密钥上，比如第三方密钥存储系统的访问key，或者是

关注