很多企业正在试图保护员工使用的各种云应用和服务中的用户账户，这样做是因为：攻击者越来越多地通过钓鱼攻击和路过式下载等方式获取云账户和登录凭证，以试图获取对企业IT环境的访问权限。虽然企业已经非常注意保护用户账户，但一旦根级和管理级账户被泄露，企业可能面临非常严重的后果。

　　例如，考虑一下Code Spaces的情况，其亚马逊云计算服务（AWS）管理门户在2014年遭到攻击。在攻击者获得访问权限后，该公司的整个基础设施被暴露，这最终导致该公司倒闭。那么，企业应该如何保护与其环境相关的特权账户以及部署强大特权用户管理呢？

　　在大多数基础设施即服务（IaaS）云中，主要有几种形式的管理或根级访问。在默认情况下，IaaS环境要求创建用户账户作为初始管理员，该账户通常是通过用户名或电子邮件以及密码来进行身份验证。这个初始管理员可配置环境，并创建新用户和组。用户目录（例如微软的Active Directory）也可链接到云访问，从而基于内部角色向很多管理员提供云访问。很多IaaS系统镜像或模板还包含具有特权的默认用户账户。在AWS机器镜像中，此用户是“ec2-user”。

　　基本特权用户管理概念

　　首先，企业需要重新审视特权用户管理的核心概念，这包括职责分离和最低权限访问模型。很多云服务提供商包含内置身份和访问管理工具，允许为每个用户和组创建不同的政策。这允许安全团队帮助设计特权政策，让管理员只能执行其角色绝对需要的操作。

　　对于不支持细粒度角色和特权模型的云服务提供商，可通过使用身份即服务提供来实现，提供商可在内部凭证存储和云服务提供商环境之间传输身份信息，同时作为单点登录门户。

　　此外，企业应该对所有云环境的特权用户访问强制性使用多因素身份验证，这可能会阻止对Code Spaces控制台的初始攻击。很多提供商提供多种不同形式的多因素访问，包括终端上的证书、多因素提供商的硬和软令牌以及短信代码--这些代码不够安全，但仍然比什么都没有要强。

　　理想情况下，拥有管理器权限的用户将使用受批准的多因素方法来访问管理控制台，以及所有类型云环境中的敏感资产和服务。对于大多数企业，软令牌和证书被证明是特权用户管理中最可行和最安全的选择。

　　最后，控制管理和根级访问的关键方面是通过管理和监控密钥来执行。大多数管理员账号（特别是那些内置到默认系统镜像的账户，例如亚马逊的ec2-user）需要使用私钥进行访问。这些密钥通常在创建用户时生成，或者可独立生成，并且必须受到严格控制以防止对任何账户的非法访问，特别是管理员或根级用户。

　　作为特权用户管理的一部分，安全和运营团队应该确保密钥在内部以及云中受到安全保护，理想情况下，密钥应该放在硬件安全模块或者其他专用于控制加密密钥的高度安全平台中。当开发人员需要整合密钥到其部署管道时，应该利用工具来保护这些敏感信息，例如Ansible Vault或者Chef加密数据包。

　　为了确保这些特权账户不会被滥用，安全团队应该收集和监控云环境中可用的日志，以及使用AWS Cloudtrail等内置工具或者商业日志和事件监控工具及服务。