- 主账号与高权限子用户开启 MFA，并保留恢复方式
- 禁用主账号长期 AccessKey，程序统一使用子账号或角色
- 开启操作审计（ActionTrail/CloudAudit/CTS），日志投递到独立存储且限制删除
- 核查服务关联角色与委托清单，移除不再使用的授权
- 账号联系人、安全联系人保持不变更，避免错过欠费与安全通知
- 固定周期（如每季度）复核子用户、密钥与高权限策略
基线检查用清单化方式记录执行人与时间，纳入例行运维，比一次性整改更有效。
云账号安全基线检查单
上线前对云账号做一次基线核查，覆盖登录安全、密钥、审计与联系方式，能提前排除大部分账号层面的风险。
易错点
- 只检查控制台登录安全，忽略 API 密钥与委托授权
- 审计日志与业务资源同账号存放，被入侵后可被一并清除
数据来源与参考
- 阿里云 安全基线文档
- 华为云 账号安全实践指南文档