身份与访问管理

1.1 使用RAM用户作为管理员账号

阿里云账号作为主账号，对该账号下的云资源具备最高的访问权限，因此也蕴含潜在的风险。按照最小化授权的原则，建议您使用RAM用户作为管理员账号来登录无影云电脑企业版控制台，并根据需要为RAM用户授予适当的权限。

1.2 终端用户账号生命周期

无影云电脑企业版的管理员可以将云资源（即云电脑）分配给终端用户账号使用。为了确保云资源在终端用户账号生命周期各阶段的安全性，请根据需要及时采取以下行动：

• 及时收回分配给终端用户账号的云电脑

• 按需禁用终端用户账号

• 及时删除不再需要使用的终端用户账号

1.3 终端用户账号密码有效期

终端用户便捷账号的密码有效期默认为永久有效。您可以设置30~365天的有效期。当密码到期后，终端用户必须先修改密码才能继续登录。

2.1 基于访问控制RAM的管理员分级分权

使用无影云电脑企业版时，您可以借助访问控制 RAM（Resource Access Management）实现权限管理，实现以不同RAM用户对云电脑的不同方面进行管控。

2.2 基于无影权限体系的管理员分级分权

以阿里云主账号登录无影云电脑控制台时，该账号具备所有的权限，可以使用控制台上提供的所有管控功能，也可以操作所有的资源。对于组织结构庞大、部门多、员工数量多、云电脑数量多的客户而言，如果只有一名管理员来承担所有的管控工作，一方面可能会有工作量过大的问题，另一方面可能也会不符合企业内部的权限隔离要求。此时，就需要有一名或多名子管理员来分担，但这种场景会有以下需求：

• 实施功能权限隔离：例如，子管理员A仅可创建和管理用户，但不可创建和管理云电脑；子管理员B仅可查看所有数据，不可执行其他操作。

• 实施数据权限隔离：例如，子管理员C仅可查看和管理研发部门的云电脑，子管理员D仅可查看和管理设计部门的云电脑。

无影云电脑企业版提供的权限管理模块可以满足上述需求。

3.1 多因素认证MFA

多因素认证MFA（Multi-Factor Authentication）是一种简单有效的安全实践，在用户名和密码之外再增加一层安全保护，用于管理员登录控制台或终端用户登录终端时的二次身份验证（不影响通过AccessKey的API调用），以此保护您的账号和云资源。

3.2 限定登录终端

除了人员有身份之外，终端也有身份，以SN或UUID来标识，它们是终端设备的可信身份标识，具备不可篡改、不可伪造、全球唯一的安全属性。管理员可以开启可信设备认证，并为终端用户添加限定登录终端，添加后，终端用户只能登录添加的终端，不能登录其他终端。

3.3 客户端登录校验

该配置默认关闭。开启后，终端用户从新的设备登录无影终端时需完成短信或邮箱验证码校验，校验通过后方可成功登录。

3.4 生物特征识别

当硬件终端进入锁屏状态时，除了可以用解锁密码解锁之外，对于部分已集成指纹识别模组的无影硬件终端（例如无影魔方Pro AS06、无影方舟Pro NS01），也可以使用指纹ID来解锁硬件终端，进一步提高安全性。

4.1 终端访问管控

云电脑策略支持通过登录方式管控和云电脑访问IP白名单的策略项进行终端访问管控。建议您合理配置云电脑策略，确保终端用户只能登录您指定类型的无影终端，且只能从您指定的IP地址网段连接云电脑。

• 登录方式管控规则用于限制终端用户可以使用哪种无影终端连接云电脑。

  示例场景：为了保障企业信息安全，管理员将规则设置为仅允许使用Windows客户端、macOS客户端和无影自研硬件终端连接云电脑。

• 云电脑访问IP白名单规则用于限制哪些IP地址段的无影终端可以连接云电脑。

  示例场景：为了保障企业信息安全，管理员将办公场所的无影终端IP地址网段添加至白名单，因此员工只能通过办公场所的无影终端连接云电脑，在其他场所无法连接。

4.2 超时自动退出登录

该功能默认关闭。开启后，若终端用户登录了您指定类型的无影终端，但没有连接任何云资源（包括云电脑、云应用、云手机、企业网盘等），则当达到您在此处设置的超时时长，无影终端将自动退出登录，从而有效保护云资源的数据安全。