云账号安全：子账号、MFA、AccessKey

一句话：三层防护：主账号只用于登录与授权、子账号按角色分配权限、程序用独立 AccessKey 且只给必要权限。三层都做，单点泄露才不至于全盘失守。

配置步骤

1. 开 MFA主账号与所有管理员子账号都绑定虚拟 MFA，密码泄露也进不来。
2. 建子账号按角色建：运维（只读 + 重启）、开发（对象存储读写）、财务（只读账单）。
3. 授权策略用系统策略或自定义策略，只授予必要操作，不给 AdministratorAccess。
4. 程序凭证为应用单独建子账号生成 AccessKey，不要用主账号的 Key。
5. 轮换与审计每季度轮换 Key，开启操作审计日志，定期看异常登录。

注意：主账号 AccessKey 泄露是最坏情况：攻击者可以开一堆高配实例挖矿、删库、把快照全删掉。很多团队的 Key 直接写在前端^释前端前端是用户直接看到并操作的界面部分，运行在浏览器或客户端中；后端是运行在服务器上的业务逻辑与数据存取部分。两者通过接口通信。代码或公开仓库里，属于把根权限挂在门口。

必须开的几项

• 登录保护：异地登录、异常 IP 告警。
• 操作审计：记录谁在什么时间做了什么，出事能追溯。
• 预算告警：费用突增往往是被挖矿的第一信号。
• 资源删除保护：关键实例与数据库^释数据库数据库是结构化存储与管理数据的系统。MySQL 是关系型数据库，用表与行组织数据、支持事务；Redis 是键值型内存数据库，常用于缓存、计数与队列。开删除保护，防误删。

AccessKey 的正确用法

• 放服务端的环境变量或密钥管理服务，不写进代码与镜像。
• 按用途分 Key：上传图片的 Key 只能写指定桶，不能读其他资源。
• 能临时凭证就不用长期 Key，云厂商的 STS 更安全。
• 离职、交接、疑似泄露时立即禁用并重建。

资料来源

• 阿里云 RAM / 腾讯云 CAM 文档：子账号、策略与 MFA 配置。
• 各云厂商《AccessKey 安全最佳实践》。
• 《网络安全法》第二十一条：访问控制^释访问控制零信任是一种安全架构理念：不默认信任任何内部或外部的访问请求，每次访问都要验证身份、设备与权限，并按最小权限授予。与安全审计要求。