账号安全基线是什么
账号安全基线是对云账号做一次成体系的核查，覆盖登录安全、密钥管理、审计留痕、授权清单与联系方式五类项目。它解决的是一类共性问题：资源层面的加固往往做得很细，但账号本身的门没锁好——一个泄漏的密钥或一个管理员子账号，就能绕过全部资源侧防护。
上线前的核查清单
- 主账号与高权限子账号开启多因素认证，并妥善保管恢复方式
- 禁用主账号长期密钥，程序统一改用子账号或角色获取临时凭证
- 开启操作审计并把日志投递到独立存储，限制删除与修改权限
- 核查身份清单：清理不再使用的子账号、密钥、角色与服务关联授权
- 核对账号联系人与安全联系人信息，避免错过欠费与安全通知
- 固定周期（如每季度）复核子账号、密钥与高权限策略，记录执行人与时间
基线的五个维度
| 维度 | 核查内容 | 常见问题 |
|---|---|---|
| 登录安全 | 密码强度、多因素认证、登录保护策略 | 只给主账号开多因素认证，子账号裸奔 |
| 密钥管理 | 长期密钥数量、存放位置、轮转记录 | 代码仓库里残留历史密钥 |
| 审计留痕 | 操作审计是否开启、日志存放与保留期 | 日志与业务同账号存放，被入侵后可一并清除 |
| 授权清单 | 子用户、角色、委托与服务关联授权 | 项目结束后授权未回收 |
| 联系方式 | 账号联系人、安全联系人与找回通道 | 联系人已离职，通知与找回都失效 |
把清单变成可执行核对
把清单变成可执行核对
aliyun ram ListUsers # 列出全部子用户，核对是否有遗留账号
aliyun ram ListAccessKeys --UserName dev-zhang # 逐个核对密钥数量与状态
aliyun ram ListRoles # 核对角色清单与服务关联授权
aliyun actiontrail DescribeTrails # 确认操作审计是否已开启
aliyun ram GetAccountSecurityPracticeReport # 部分平台提供账号安全评分与整改建议
# 把输出落库并按季度对比，才能发现逐步累积的权限漂移基线检查用清单化方式记录执行人与时间，纳入例行运维，比一次性整改更有效。整改项要明确责任人与完成时限，否则清单会在第一次复查时全部回到原状。
审计日志的存放位置决定取证能力：把日志与业务资源放在同一账号甚至同一存储中，一旦账号被入侵，攻击者可以清理痕迹。应投递到独立账号下的存储，并对该存储限制删除权限。