RAM用户不能同时启用两个AccessKey

风险说明

一个RAM用户最多可以创建两个AccessKey，如果同时启用两个AccessKey，首先会导致RAM用户丧失轮转能力，其次赋予权限容易过大，会带来更大的风险。

风险等级

高风险。

最佳实践

• 尽可能通过临时访问凭证（STS Token）调用阿里云API。如果特定场景下无法使用临时访问凭证，才使用固定AccessKey。

• 对于只能使用固定AccessKey的场景，建议定期轮转AccessKey，降低暴露风险。

• 为了方便轮转操作，每个RAM用户建议只启用一个AccessKey，预留一个AccessKey配额方便轮转期间迁移应用的AccessKey。

• 当应用完成新AccessKey迁移后，将旧AccessKey禁用，静默一段时间后删除，以便下次轮转。

治理建议

确认RAM 用户的AccessKey是否仍在使用：

• 如果AccessKey不再使用，则建议禁用该AccessKey。禁用90天后，如果期间未出现与该AccessKey相关的问题，则可以删除该AccessKey。具体操作，请参见禁用RAM用户的AccessKey和删除RAM用户的AccessKey。

• 如果两个AccessKey仍旧同时存在于代码或者程序中，则这些AccessKey仍旧有被调用的可能，因此需要将其中一个AccessKey腾挪到新的RAM用户下。操作步骤如下：

  1. 在RAM控制台，创建一个新的RAM用户。

     具体操作，请参见创建RAM用户。

  2. 为新的RAM用户授权。

     为新的RAM用户添加与原来RAM用户相同的权限，或者针对应用情况授予最小化权限，即只添加该应用所需要的权限。具体操作，请参见为RAM用户授权。

  3. 为新的RAM用户创建AccessKey。

     具体操作，请参见创建RAM用户的AccessKey。

  4. 在程序或应用的测试环境中，将原来RAM用户的AccessKey替换为新RAM用户的AccessKey，并验证程序或应用可以正常运行。

  5. 在程序或应用的生产环境中，将原来RAM用户的AccessKey替换为新RAM用户的AccessKey，并验证程序或应用可以正常运行。

  6. 禁用原来RAM用户的AccessKey。

  7. 禁用90天后，如果没有发生与原来RAM用户的AccessKey相关的问题，则可以直接删除原来RAM用户的AccessKey。

  8. 审视原RAM用户的权限，移除不必要的权限，确保权限最小化。

治理难度

治理难度高。