阿里云安全白皮书访问控制

为了保护阿里云客户和自身的数据资产安全,阿里云采用一系列控制措施,以防止未经授权的访问。
1认证控制
阿里云每位员工拥有唯一的用户账号和证书,这个账号通过有线和无线网络接入用来识别每个人在阿里云网络内的活动情况并作为阻断非法外部连接的依据,而证书则是作为抗抵赖工具用于每位员工接入所有阿里云内部系统的证明。员工入职后,人力资源部会给予一个用户账号,并按照其岗位类别和职级进行授权,离职后,人力资源部将通过系统将禁止该账号访问阿里云网络。
阿里云密码系统强制策略用于员工的密码或密钥(例如登陆工作站)。包括密码定期修改频率、密码长度、密码复杂度、密码过期时间等。阿里云针对生产数据及其附属设施的访问控制除去采用单点登录外,均强制采用双因素认证机制,例如像证书和一次性口令生成器。
2授权控制
访问权限及等级是基于员工工作的功能和角色,最小权限和职责分离是所有系统授权设计基本原则,阿里云员工访问公司的资源只授予有限的默认权限。例如访问邮件和阿里云内部办公系统。如根据特殊的工作职能,员工需要被授予权限访问某些额外的资源,则依据阿里云安全政策规定进行申请和审批,并得到数据或系统所有者、安全管理员或其他部门批准。所有批准的审计记录均记录于工作流平台,平台内的控制权限设置的修改和审批过程的审批政策确保一致。
3审计
阿里云所有信息系统的日志和权限审批记录均采用碎片化分布式离散存储技术进行长期保存,以供审计人员根据需求进行审计。

阿里云安全白皮书访问控制:等您发表观点呢!

发表评论


快捷键:Ctrl+Enter