【OSS安全最佳实践】降低因账号密码泄露带来的未授权访问风险

如果因个人或者企业账号密码泄露引发了未经授权的访问，可能会出现非法用户对OSS资源进行违法操作，或者合法用户以未授权的方式对OSS资源进行各类操作，这将给数据安全带来极大的威胁。为此，OSS提供了在实施数据安全保护时需要考虑的多种安全最佳实践。

重要

以下最佳实践遵循一般准则，并不等同完整的安全解决方案。这些最佳实践可能不适合您的环境或不满足您的环境要求，仅建议将其视为参考因素。请您在日常使用中提高数据安全意识并时刻做好内容安全防范措施。

修改ACL为私有访问权限

除非您明确要求包括匿名访问者在内的任何人都能读写您的OSS资源，包括存储空间（Bucket）以及文件（Object），否则请勿将Bucket或者Object的读写权限ACL设置为公共读（public-read）或者公共读写（public-read-write）。设置公共读或者公共读写权限后，对访问者的权限说明如下：

• 公共读写：任何人（包括匿名访问者）都可以对该Bucket内的Object进行读写操作。

  警告

  互联网上任何用户都可以对该Bucket内的Object进行访问，并且向该Bucket写入数据。这有可能造成您数据的外泄以及费用激增，若被人恶意写入违法信息还可能会侵害您的合法权益。除特殊场景外，不建议您配置公共读写权限。

• 公共读：只有该Bucket的拥有者可以对该Bucket内的Object进行写操作，任何人（包括匿名访问者）都可以对该Bucket内的Object进行读操作。

  警告

  互联网上任何用户都可以对该Bucket内的Object进行访问，这有可能造成您数据的外泄以及费用激增，请谨慎操作。

鉴于公共读或者公共读写权限对OSS资源带来的数据安全风险考虑，强烈建议您将Bucket或者Object的读写权限设置为私有（private）。设置为私有权限后，只有该Bucket拥有者可以对该Bucket以及Bucket内的Object进行读写操作，其他人均无访问权限。因此，在修改ACL为私有访问权限之前，请自行确认业务本身不受影响。

您可以通过多种方式将Bucket或者Object的读写权限设置为私有，具体步骤请参见设置存储空间读写权限ACL和设置文件读写权限ACL。

避免代码明文使用AccessKey或本地加密存储AccessKey

代码中明文使用AccessKey会由于各种原因的代码泄露导致AccessKey泄露。而本地加密存储AccessKey也并不安全，原因是数据的加解密内容会存放在内存中，而内存中的数据可以被转储。尤其是移动App和PC桌面应用极易出现此类问题，攻击者只需要使用某些注入、API HOOK、动态调试等技术，就可以获取到加解密后的数据。

服务端可以通过阿里云SDK托管凭据插件的方式规避代码明文使用AccessKey，解决因源码或编译产物泄露而导致的AccessKey泄露问题。有关阿里云SDK托管凭据插件的工作原理及使用方式的更多信息，请参见多种阿里云SDK的托管凭据插件。

重要

此方案不适用于客户端，请不要以任何方式在客户端内置任意形式的AccessKey。

以RAM用户的方式访问OSS

阿里云账号AccessKey拥有所有API的访问权限，风险很高。强烈建议您创建并使用RAM用户进行API访问或日常运维。

创建RAM用户后，您可以控制这些RAM用户对资源的操作权限。当您的企业存在多用户协同操作资源的场景时，可以让您避免与其他用户共享阿里云账号密钥，按需为用户分配最小权限，从而降低企业的信息安全风险。创建RAM用户的具体步骤，请参见创建RAM用户。

RAM用户创建完成后，您可以通过RAM Policy为RAM用户授权的方式来集中管理您的用户（例如员工、系统或应用程序），以及控制用户可以访问您名下哪些资源的权限。例如，您可以通过以下RAM Policy阻止指定RAM用户访问目标存储空间examplebucket及examplebucket内的文件或目录。

{"Version": "1","Statement": [{"Effect": "Deny","Action": "oss:*","Resource": ["acs:oss:*:*:examplebucket","acs:oss:*:*:examplebucket/*"]}]
}

您还可以通过RAM Policy拒绝RAM用户删除某个Bucket下任意文件、或者授权RAM用户仅拥有读取某个Bucket资源的权限等。有关RAM Policy常见场景的授权示例，请参见RAM Policy常见示例。

启用多因素认证

多因素认证MFA（Multi Factor Authentication）是一种简单有效的最佳安全实践。启用MFA后，登录阿里云控制台时需要输入账号密码和MFA设备实时生成的动态验证码，在账号密码泄露时也可以阻止未授权访问，提高账号安全性。

您可以选择为阿里云账号启用MFA，具体步骤请参见为阿里云账号绑定多因素认证设备。您还可以选择为RAM用户启用MFA，具体步骤请参见为RAM用户绑定多因素认证设备。

STS临时授权访问OSS

您可以通过STS服务给其他用户颁发一个临时访问凭证。该用户可使用临时访问凭证在规定时间内访问您的OSS资源。临时访问凭证无需透露您的长期密钥，使您的OSS资源访问更加安全。

有关STS临时授权访问OSS的具体步骤，请参见开发指南中的使用STS临时访问凭证访问OSS。

Bucket Policy

Bucket Policy是阿里云OSS推出的针对Bucket的授权策略，您可以通过Bucket Policy授权其他用户访问您指定的OSS资源。通过Bucket Policy，您可以授权另一个账号访问或管理整个Bucket或Bucket内的部分资源，或者对同账号下的不同RAM用户授予访问或管理Bucket资源的不同权限。

配置Bucket Policy时，请遵循以下权限最小化原则，从而降低数据安全风险。

• 避免授权整个Bucket

  资源授权过大容易导致其他用户数据被非法访问，所以在实际生产业务中请限制指定资源途径，避免授权整个Bucket。

• 不授权匿名访问

  允许匿名访问意味着用户只需要知道Endpoint和Bucket名称就可以正常访问OSS，而EndPoint是可以枚举的，Bucket名称也可以从已授权的访问文件URL中提取。由此可见，授权允许匿名访问会带来极大的安全风险。

• 设置合理的Action

  通过控制台的图形化配置Bucket Policy时，简单设置中的四类授权操作（Action）仅为用户提供了一种便捷的Policy设置方法，每类Action并不一定完全符合您的业务需求，建议您结合业务需求并通过高级设置的方式给予授权用户最小的权限。例如，生成只读权限往往会包含oss:ListObjects、oss:GetObject等。但是一般场景下的文件下载只需要oss:GetObject权限即可。

• 启用HTTPS访问

  启用HTTPS访问可以解决网络中间人攻击以及域名劫持等问题。另外Chrome浏览器也对HTTP协议进行干预，例如HTTPS站点默认无法加载HTTP资源。基于以上原因，请务必开启HTTPS，以最低成本解决多种风险问题。

• 限定来源的IP地址

  如果访问OSS资源的IP地址是固定可枚举的，强烈建议配置IP地址。

例如，通过Bucket Policy授予名为Test的RAM用户通过SDK或者命令行工具ossutil下载目标存储空间examplebucket下指定目录log下所有文件的权限：