tag
最小权限
该标签下有 2 篇文章
2026-09-05
云存储被公开暴露：即使开启了「阻止公有访问」，数据也可能泄露
存储桶泄露来自配置，而不是攻击。文档里最关键的一句是：阻止公有访问的设置不会修改现有的策略或 ACL——公开设置留在阻止层下面，一旦解除阻止，公开访问就会恢复。所以目标不是「已开启阻止」，而是「关掉阻止也没有任何东西是公开的」。要在账户级别启用，因为存储桶策略可以授予别人关闭存储桶级阻止的权限。而且「公开」的定义比大多数人想象的更宽。
2026-06-11
SSH 密钥的最小权限：别把生产的 root 密钥放进可能被入侵的临时环境
从可能被入侵的临时环境（GPU pod、CI runner、一次性 VM）向生产登记 root 密钥，那个环境一旦被入侵，攻击者就能拿到生产的 root 权限。对策：不在临时环境放 root 密钥；不用了就删掉；再次需要时，用非 root 用户加上把密钥限定为一个操作的 command 限制密钥。把复用的密钥当作最重要的资产，绝不要搭出漏一把密钥就能打开所有服务器的结构。