很多企业正在试图保护员工使用的各种云应用和服务中的用户账户，这样做是因为：攻击者越来越多地通过钓鱼攻击和路过式下载等方式获取云账户和登录凭证，以试图获取对企业IT环境的访问权限。虽然企业已经非常注意保护用户账户，但一旦根级和管理级账户被泄露，企业可能面临非常严重的后果。
例如，考虑一下Code Spaces的情况，其亚马逊云计算服务（AWS）管理门户在2014年遭到攻击。在攻击者获得访问权限后，该公司的整个基础设施被暴露，这最终导致该公司倒闭。那么，企业应该如何保护与其环境相关的特权账户以及部署强大特权用户管理呢？
在大多数基础设施即服务（IaaS）云中，主要有几种形式的管理或根级访问。在默认情况下，IaaS环境要求创建用户账户作为初始管理员，该账户通常是通过用户名或电子邮件以及密码来进行身份验证。这个初始管理员可配置环境，并创建新用户和组。用户目录（例如微软的Active Directory）也可链接到云访问，从而基于内部角色向很多管理员提供云访问。很多IaaS系统镜像或模板还包含具有特权的默认用户账户。在AWS机器镜像中，此用户是“ec2-user”。
基本特权用户管理概念
首先，企业需要重新审视特权用户管理的核心概念，这包括职责分离和最低权限访问模型。很多云服务提供商包含内置身份和访问管理工具，允许为每个用户和组创建不同的政策。这允许安全团队帮助设计特权政策，让管理员只能执行其角色绝对需要的操作。
对于不支持细粒度角色和特权模型的云服务提供商，可通过使用身份即服务提供来实现，提供商可在内部凭证存储和云服务提供商环境之间传输身份信息，同时作为单点登录门户。
此外，企业应该对所有云环境的特权用户访问强制性使用多因素身份验证，这可能会阻止对Code Spaces控制台的初始攻击。很多提供商提供多种不同形式的多因素访问，包括终端上的证书、多因素提供商的硬和软令牌以及短信代码--这些代码不够安全，但仍然比什么都没有要强。
理想情况下，拥有管理器权限的用户将使用受批准的多因素方法来访问管理控制台，以及所有类型云环境中的敏感资产和服务。对于大多数企业，软令牌和证书被证明是特权用户管理中最可行和最安全的选择。
最后，控制管理和根级访问的关键方面是通过管理和监控密钥来执行。大多数管理员账号（特别是那些内置到默认系统镜像的账户，例如亚马逊的ec2-user）需要使用私钥进行访问。这些密钥通常在创建用户时生成，或者可独立生成，并且必须受到严格控制以防止对任何账户的非法访问，特别是管理员或根级用户。
作为特权用户管理的一部分，安全和运营团队应该确保密钥在内部以及云中受到安全保护，理想情况下，密钥应该放在硬件安全模块或者其他专用于控制加密密钥的高度安全平台中。当开发人员需要整合密钥到其部署管道时，应该利用工具来保护这些敏感信息，例如Ansible Vault或者Chef加密数据包。
为了确保这些特权账户不会被滥用，安全团队应该收集和监控云环境中可用的日志，以及使用AWS Cloudtrail等内置工具或者商业日志和事件监控工具及服务。
例如，考虑一下Code Spaces的情况，其亚马逊云计算服务（AWS）管理门户在2014年遭到攻击。在攻击者获得访问权限后，该公司的整个基础设施被暴露，这最终导致该公司倒闭。那么，企业应该如何保护与其环境相关的特权账户以及部署强大特权用户管理呢？
在大多数基础设施即服务（IaaS）云中，主要有几种形式的管理或根级访问。在默认情况下，IaaS环境要求创建用户账户作为初始管理员，该账户通常是通过用户名或电子邮件以及密码来进行身份验证。这个初始管理员可配置环境，并创建新用户和组。用户目录（例如微软的Active Directory）也可链接到云访问，从而基于内部角色向很多管理员提供云访问。很多IaaS系统镜像或模板还包含具有特权的默认用户账户。在AWS机器镜像中，此用户是“ec2-user”。
基本特权用户管理概念
首先，企业需要重新审视特权用户管理的核心概念，这包括职责分离和最低权限访问模型。很多云服务提供商包含内置身份和访问管理工具，允许为每个用户和组创建不同的政策。这允许安全团队帮助设计特权政策，让管理员只能执行其角色绝对需要的操作。
对于不支持细粒度角色和特权模型的云服务提供商，可通过使用身份即服务提供来实现，提供商可在内部凭证存储和云服务提供商环境之间传输身份信息，同时作为单点登录门户。
此外，企业应该对所有云环境的特权用户访问强制性使用多因素身份验证，这可能会阻止对Code Spaces控制台的初始攻击。很多提供商提供多种不同形式的多因素访问，包括终端上的证书、多因素提供商的硬和软令牌以及短信代码--这些代码不够安全，但仍然比什么都没有要强。
理想情况下，拥有管理器权限的用户将使用受批准的多因素方法来访问管理控制台，以及所有类型云环境中的敏感资产和服务。对于大多数企业，软令牌和证书被证明是特权用户管理中最可行和最安全的选择。
最后，控制管理和根级访问的关键方面是通过管理和监控密钥来执行。大多数管理员账号（特别是那些内置到默认系统镜像的账户，例如亚马逊的ec2-user）需要使用私钥进行访问。这些密钥通常在创建用户时生成，或者可独立生成，并且必须受到严格控制以防止对任何账户的非法访问，特别是管理员或根级用户。
作为特权用户管理的一部分，安全和运营团队应该确保密钥在内部以及云中受到安全保护，理想情况下，密钥应该放在硬件安全模块或者其他专用于控制加密密钥的高度安全平台中。当开发人员需要整合密钥到其部署管道时，应该利用工具来保护这些敏感信息，例如Ansible Vault或者Chef加密数据包。
为了确保这些特权账户不会被滥用，安全团队应该收集和监控云环境中可用的日志，以及使用AWS Cloudtrail等内置工具或者商业日志和事件监控工具及服务。
下一篇：云可治老年痴呆大型机上一篇：2017年值得关注的十大IaaS云发展趋势
责任编辑：zhuchangxi
为您推荐
UT斯达康高级产品市场经理刘健：内容在云端，精彩在眼前
DVBCN讯：第十九届国际传输与覆盖研讨会ICTC2011今年从西子湖畔的杭州移师古都西安，今日正式拉开帷幕。这一有线电视行业的盛会自1992年首届会议以来，已发展成为中国广播电视科技领域内最具影响力的国际研讨活动之一。今年的主题是“增进东西部交流精英汇聚创新”。DVBCN数字电视中文网为你带来精彩现场报道。UT斯达康高级产品市场经理刘健就“内容在云端，精彩在眼前”为主题发表了自己独到的见解。图为：UT斯达康高级产品市场经理刘健报告中，刘经理首先提出了目前行业五大趋势：趋势一：新媒体分流传统电视用户（传统电视的机遇和挑
亚马逊云计算助企业降低成本 面临谷歌微软竞争
9月3日消息，网络巨擘亚马逊公司（Amazon）继颠覆传统图书出版业与零售业后，现在正雄心勃勃追求一个远大目标：改造计算机运算产业。亚马逊计划通过旗下的云计算平台，让全世界所有人都能利用强大的云计算能力，作各种前人无法想象的事。纽约时报报导，新创业者气候公司（ClimateCorporation）每天都为美国100万个地点，进行上万次天气变化模拟，并合并植物根部构造和土质等信息作综合判断，以提供农作物保险。另一家新创公司Cue则扫描多达5亿个电邮、Facebook状态更新和企业文件，以提供数据、提醒用户在家等包裹、发简讯通知朋友约会可能晚到等等服务。10年前，如果没有大手笔投资计算机设备，就不
