View a markdown version of this page

Praktik terbaik pengguna root untuk Anda Akun AWS - AWS Identity and Access Management
Amankan kredentif pengguna root Anda untuk mencegah penggunaan yang tidak sahGunakan kata sandi pengguna root yang kuat untuk membantu melindungi aksesAmankan login pengguna root Anda dengan otentikasi multi-faktor (MFA)Jangan membuat kunci akses untuk pengguna rootGunakan persetujuan multi-orang untuk masuk pengguna root jika memungkinkanGunakan alamat email grup untuk kredensional pengguna rootBatasi akses ke mekanisme pemulihan akunAmankan Anda AWS Organizations kredenSIAL pengguna root akunMemantau akses dan penggunaan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Praktik terbaik pengguna root untuk Anda Akun AWS

Saat pertama kali membuat Akun AWS, Anda mulai dengan kumpulan kredenSIAL default dengan akses lengkap ke semua AWS sumber daya di akun Anda. Identitas ini disebut pengguna Akun AWS root. Kami sangat menyarankan Anda untuk tidak mengakses pengguna Akun AWS root kecuali Anda memiliki tugas yang memerlukan kredenSIAL pengguna root. Anda perlu mengamankan kredentif pengguna root dan mekanisme pemulihan akun Anda untuk membantu memastikan Anda tidak mengekspos kredentif yang sangat istimewa untuk penggunaan yang tidak sah.

Untuk beberapa yang Akun AWS dikelola AWS Organizations, sebaiknya hapus kredentif pengguna root dari akun anggota untuk membantu mencegah penggunaan yang tidak sah. Anda dapat menghapus kata sandi pengguna root, kunci akses, sertifikat penandatanganan, dan menonaktifkan dan menghapus otentikasi multi-faktor (MFA). Akun anggota tidak dapat masuk ke pengguna root mereka atau melakukan pemulihan kata sandi untuk pengguna root mereka. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

Alih-alih mengakses pengguna root, buat pengguna administratif untuk tugas sehari-hari.

Dengan pengguna administratif Anda, Anda kemudian dapat membuat identitas tambahan untuk pengguna yang membutuhkan akses ke sumber daya di Anda Akun AWS. Kami sangat menyarankan Anda meminta pengguna untuk mengotentikasi dengan kredenSIAL sementara saat mengakses AWS.

  • Untuk satu, mandiri Akun AWS, gunakan Peran IAM untuk membuat identitas di akun Anda dengan izin tertentu. Peran dimaksudkan untuk diambil oleh siapa saja yang membutuhkannya. Selain itu, peran tidak memiliki kredenSIAL jangka panjang standar, seperti kata sandi atau kunci akses, yang terkait dengannya. Sebagai gantinya, saat Anda mengambil peran, peran tersebut akan memberikan kredensial keamanan sementara untuk sesi peran. Tidak seperti peran IAM, Pengguna IAM: memiliki kredenSIAL jangka panjang seperti kata sandi dan kunci akses. Jika memungkinkan, praktik terbaik merekomendasikan mengandalkan kredenSIAL sementara daripada membuat pengguna IAM yang memiliki kredenSIAL jangka panjang seperti kata sandi dan kunci akses.

  • Untuk beberapa melalui Akun AWS yang dikelola AWS Organizations, gunakan pengguna tenaga kerja Pusat Identitas IAM. Dengan Pusat Identitas IAM, Anda dapat mengelola pengguna secara terpusat di seluruh akun Anda Akun AWS dan izin di dalam akun tersebut. Kelola identitas pengguna Anda dengan Pusat Identitas IAM atau dari penyedia identitas eksternal. Untuk informasi selengkapnya, lihat Apa itu AWS IAM Identity Center dalam Panduan Pengguna AWS IAM Identity Center .

Amankan kredentif pengguna root Anda untuk mencegah penggunaan yang tidak sah

Amankan kredentif pengguna root Anda dan gunakan hanya untuk tugas yang memerlukannya. Untuk membantu mencegah penggunaan yang tidak sah, jangan bagikan kata sandi pengguna root, MFA, kunci akses, pasangan CloudFront kunci, atau sertifikat penandatanganan dengan siapa pun, kecuali mereka yang memiliki kebutuhan bisnis yang ketat untuk mengakses pengguna root.

Jangan menyimpan kata sandi pengguna root dengan alat yang bergantung Layanan AWS pada akun yang diakses menggunakan kata sandi yang sama. Jika Anda kehilangan atau lupa kata sandi pengguna root Anda, Anda tidak akan dapat mengakses alat ini. Sebaiknya Anda memprioritaskan ketahanan dan mempertimbangkan untuk mewajibkan dua orang atau lebih untuk mengotorisasi akses ke lokasi penyimpanan. Akses ke kata sandi atau lokasi penyimpanannya harus dicatat dan dipantau.

Gunakan kata sandi pengguna root yang kuat untuk membantu melindungi akses

Kami menyarankan Anda menggunakan kata sandi yang kuat dan unik. Alat seperti pengelola kata sandi dengan algoritma pembuatan kata sandi yang kuat dapat membantu Anda mencapai tujuan ini. AWS mengharuskan kata sandi Anda memenuhi persyaratan berikut:

  • Itu harus memiliki minimal 8 karakter dan maksimum 128 karakter.

  • Ini harus mencakup minimal tiga dari campuran jenis karakter berikut: huruf besar, huruf kecil, angka, dan! @ # $% ^ & * () <> [] {} | _+-= simbol.

  • Itu tidak boleh identik dengan Akun AWS nama atau alamat email Anda.

Untuk informasi selengkapnya, lihat Ubah kata sandi untuk Pengguna root akun AWS.

Amankan login pengguna root Anda dengan otentikasi multi-faktor (MFA)

Karena pengguna root dapat melakukan tindakan istimewa, sangat penting untuk menambahkan MFA untuk pengguna root sebagai faktor otentikasi kedua selain alamat email dan kata sandi sebagai kredenSIAL masuk. Anda dapat mendaftarkan hingga delapan perangkat MFA dari kombinasi jenis MFA yang saat ini didukung dengan pengguna Akun AWS root Anda.

Kami sangat menyarankan untuk mengaktifkan beberapa perangkat MFA untuk kredenSIAL pengguna root Anda untuk memberikan fleksibilitas dan ketahanan tambahan dalam strategi keamanan Anda. Semua Akun AWS jenis (akun mandiri, manajemen, dan anggota) memerlukan MFA untuk dikonfigurasi untuk pengguna root mereka. Pengguna harus mendaftarkan MFA dalam waktu 35 hari sejak upaya masuk pertama mereka untuk mengakses Konsol Manajemen AWS jika MFA belum diaktifkan.

Jangan membuat kunci akses untuk pengguna root

Tombol akses memungkinkan Anda menjalankan AWS perintah di Command Line Interface (AWS CLI) atau menggunakan operasi API dari salah satu AWS SDK. Kami sangat menyarankan agar Anda tidak membuat kunci akses untuk pengguna root Anda karena pengguna root memiliki akses penuh ke semua Layanan AWS dan sumber daya di akun, termasuk informasi penagihan.

Karena hanya beberapa tugas yang memerlukan pengguna root dan Anda biasanya jarang melakukan tugas-tugas tersebut, sebaiknya masuk Konsol Manajemen AWS ke untuk melakukan tugas pengguna root. Untuk akses terprogram, alih-alih membuat kunci akses untuk pengguna root, gunakan aws login perintah dengan kredenSIAL root Anda untuk mengotentikasi ke SDK AWS CLI dan. Pendekatan ini menyediakan kredenSIAL sementara yang diputar secara otomatis yang meningkatkan postur keamanan Anda sambil menghilangkan kebutuhan untuk mengelola kunci akses jangka panjang. Sebelum membuat kunci akses, tinjauAlternatif untuk kunci akses jangka panjang.

Gunakan persetujuan multi-orang untuk masuk pengguna root jika memungkinkan

Pertimbangkan untuk menggunakan persetujuan multi-orang untuk memastikan bahwa tidak ada orang yang dapat mengakses MFA dan kata sandi untuk pengguna root. Beberapa perusahaan menambahkan lapisan keamanan tambahan dengan mengatur satu kelompok administrator dengan akses ke kata sandi, dan kelompok administrator lain dengan akses ke MFA. Satu anggota dari setiap grup harus berkumpul untuk masuk sebagai pengguna root.

Gunakan alamat email grup untuk kredensional pengguna root

Gunakan alamat email yang dikelola oleh bisnis Anda dan meneruskan pesan yang diterima langsung ke sekelompok pengguna. Jika AWS harus menghubungi pemilik akun, pendekatan ini mengurangi risiko keterlambatan dalam merespons, bahkan jika individu sedang berlibur, sakit, atau telah meninggalkan bisnis. Alamat email yang digunakan untuk pengguna root tidak boleh digunakan untuk tujuan lain.

Batasi akses ke mekanisme pemulihan akun

Pastikan Anda mengembangkan proses untuk mengelola mekanisme pemulihan kredensi pengguna root jika Anda memerlukan akses ke sana selama keadaan darurat seperti pengambilalihan akun administratif Anda.

  • Pastikan Anda memiliki akses ke kotak masuk email pengguna root Anda sehingga Anda dapat mengatur ulang kata sandi pengguna root yang hilang atau terlupakan.

  • Jika MFA untuk pengguna Akun AWS root Anda hilang, rusak, atau tidak berfungsi, Anda dapat masuk menggunakan MFA lain yang terdaftar ke kredensional pengguna root yang sama. Jika Anda kehilangan akses ke semua MFA Anda, Anda memerlukan nomor telepon dan email yang digunakan untuk mendaftarkan akun Anda, agar terkini dan dapat diakses untuk memulihkan MFA Anda. Untuk detailnya, lihat Memulihkan perangkat MFA pengguna root.

  • Jika Anda memilih untuk tidak menyimpan kata sandi pengguna root dan MFA, maka nomor telepon yang terdaftar di akun Anda dapat digunakan sebagai cara alternatif untuk memulihkan kredenSIAL pengguna root. Pastikan Anda memiliki akses ke nomor telepon kontak, perbarui nomor telepon, dan batasi siapa yang memiliki akses untuk mengelola nomor telepon.

Tidak ada orang yang boleh memiliki akses ke kotak masuk email dan nomor telepon karena keduanya adalah saluran verifikasi untuk memulihkan kata sandi pengguna root Anda. Penting untuk memiliki dua kelompok individu yang mengelola saluran ini. Satu grup memiliki akses ke alamat email utama Anda dan grup lain memiliki akses ke nomor telepon utama untuk memulihkan akses ke akun Anda sebagai pengguna root.

Amankan Anda AWS Organizations kredenSIAL pengguna root akun

Saat Anda beralih ke strategi multi-akun AWS Organizations, masing-masing Akun AWS memiliki kredenSIAL pengguna root sendiri yang perlu Anda amankan. Akun yang Anda gunakan untuk membuat organisasi adalah akun manajemen dan akun lainnya di organisasi Anda adalah akun anggota.

Amankan kredentif pengguna root untuk akun manajemen

AWS mengharuskan Anda mendaftarkan MFA untuk pengguna root dari akun manajemen organisasi Anda. Pendaftaran MFA harus diselesaikan selama upaya masuk pertama atau dalam masa tenggang 35 hari. Jika MFA tidak diaktifkan dalam waktu ini, pendaftaran akan diperlukan sebelum Anda dapat mengakses. Konsol Manajemen AWS Untuk informasi selengkapnya, lihat Multi-factor otentikasi untuk Pengguna root akun AWS.

Amankan kredentif pengguna root untuk akun anggota

Jika Anda menggunakan AWS Organizations untuk mengelola beberapa akun, ada dua strategi yang dapat Anda ambil untuk mengamankan akses pengguna root di akun Anda AWS Organizations.

  • Sentralisasikan akses root dan hapus kredenSIAL pengguna root dari akun anggota. Hapus kredentif pengguna root, kunci akses, sertifikat penandatanganan, dan nonaktifkan serta hapus otentikasi multi-faktor (MFA). Ketika strategi ini digunakan, akun anggota tidak dapat masuk ke pengguna root mereka atau melakukan pemulihan kata sandi untuk pengguna root mereka. Untuk informasi selengkapnya, lihat Mengelola akses root secara terpusat untuk akun anggota.

  • Amankan kredentif pengguna root AWS Organizations akun Anda dengan MFA untuk meningkatkan keamanan akun. Untuk informasi selengkapnya, lihat Multi-factor otentikasi untuk Pengguna root akun AWS.

Untuk detailnya, lihat Mengakses akun anggota di organisasi Anda di Panduan AWS Organizations Pengguna.

Tetapkan kontrol keamanan preventif di AWS Organizations menggunakan kebijakan kontrol layanan (SCP)

Jika akun anggota di organisasi Anda mengaktifkan kredentif pengguna root, Anda dapat menerapkan SCP untuk membatasi akses ke pengguna root akun anggota. Menolak semua tindakan pengguna root di akun anggota Anda, kecuali untuk tindakan khusus root tertentu, membantu mencegah akses yang tidak sah. Untuk detailnya, lihat Menggunakan SCP untuk membatasi apa yang dapat dilakukan pengguna root di akun anggota Anda.

Memantau akses dan penggunaan

Sebaiknya gunakan mekanisme pelacakan saat ini untuk memantau, memperingatkan, dan melaporkan login dan penggunaan kredentif pengguna root, termasuk peringatan yang mengumumkan login dan penggunaan pengguna root. Layanan berikut dapat membantu memastikan bahwa penggunaan kredensi pengguna root dilacak dan melakukan pemeriksaan keamanan yang dapat membantu mencegah penggunaan yang tidak sah.

catatan

CloudTrail mencatat peristiwa masuk yang berbeda untuk pengguna root dan sesi pengguna root yang memiliki hak istimewa. Sesi istimewa ini memungkinkan tugas yang memerlukan kredenSIAL pengguna root dilakukan di akun anggota di organisasi Anda. Anda dapat menggunakan acara masuk untuk mengidentifikasi tindakan yang diambil oleh akun manajemen atau administrator yang didelegasikan menggunakan sts:AssumeRoot. Untuk informasi selengkapnya, lihat Lacak tugas istimewa di CloudTrail.

  • Jika Anda ingin diberi tahu tentang aktivitas masuk pengguna root di akun Anda, Anda dapat memanfaatkan Amazon CloudWatch untuk membuat aturan Acara yang mendeteksi kapan kredenSIAL pengguna root digunakan dan memicu pemberitahuan kepada administrator keamanan Anda. Untuk detailnya, lihat Mem antau dan memberitah Akun AWS ukan aktivitas pengguna root.

  • Jika Anda ingin menyiapkan notifikasi untuk mengingatkan Anda tentang tindakan pengguna root yang disetujui, Anda dapat memanfaatkan Amazon EventBridge bersama dengan Amazon SNS untuk menulis EventBridge aturan untuk melacak penggunaan pengguna root untuk tindakan tertentu dan memberi tahu Anda menggunakan topik Amazon SNS. Sebagai contoh, lihat Men girim notifikasi saat objek Amazon S3 dibuat.

  • Jika Anda sudah menggunakan layanan deteksi ancaman GuardDuty sebagai layanan, Anda dapat memperluas kemampuannya untuk memberi tahu Anda saat kredenSIAL pengguna root digunakan di akun Anda.

Peringatan harus menyertakan, tetapi tidak terbatas pada, alamat email untuk pengguna root. Miliki prosedur untuk cara menanggapi peringatan sehingga personel yang menerima peringatan akses pengguna root memahami cara memvalidasi bahwa akses pengguna root diharapkan, dan cara meningkatkan jika mereka yakin bahwa insiden keamanan sedang berlangsung. Untuk contoh cara mengonfigurasi peringatan, lihat Meman tau dan memberitah Akun AWS ukan aktivitas pengguna root.

Mengevaluasi kepatuhan MFA pengguna root

Layanan berikut dapat membantu mengevaluasi kepatuhan MFA untuk kredenSIAL pengguna root.

MFA-related aturan mengembalikan tidak sesuai jika Anda mengikuti praktik terbaik untuk menghapus kredentif pengguna root.

Sebaiknya hapus kredentif pengguna root dari akun anggota di organisasi Anda untuk membantu mencegah penggunaan yang tidak sah. Setelah Anda menghapus kredentif pengguna root, termasuk MFA, akun anggota ini dievaluasi sebagai tidak berlaku.

  • AWS Config menyediakan aturan untuk memantau kepatuhan dengan praktik terbaik pengguna root. Anda dapat menggunakan aturan AWS Config terkelola untuk membantu Anda menerapkan MFA untuk kredenSIAL pengguna root. AWS Config juga dapat mengidentifikasi kunci akses untuk pengguna root.

  • Security Hub CSPM memberi Anda pandangan komprehensif tentang status keamanan Anda AWS dan membantu Anda menilai AWS lingkungan Anda terhadap standar industri keamanan dan praktik terbaik, seperti memiliki MFA pada pengguna root dan tidak memiliki kunci akses pengguna root. Untuk detail tentang aturan yang tersedia, lihat AWS Identity and Access Management kontrol di Panduan Pengguna CSPM Hub Keamanan.

  • Trusted Advisor menyediakan pemeriksaan keamanan sehingga Anda tahu jika MFA tidak diaktifkan pada akun pengguna root. Untuk informasi selengkapnya, lihat MFA pada Akun Root di Panduan AWS Pengguna Dukungan.

Jika Anda perlu melaporkan masalah keamanan di akun Anda, lihat L aporkan Email yang Mencurigakan atau Pelaporan Kerentanan. Atau, Anda dapat Hu bungi AWS untuk bantuan dan bimbingan tambahan.