点击链接下载查看完整版内容👉：《阿里云安全白皮书（2024版）》
点击链接下载查看上文👉：带你读《阿里云安全白皮书》（十五）——云上安全重要支柱（9）
坚守数据主权的数据安全保护
2 客户数据安全保护技术能力
2.3 细粒度访问控制策略
当数据需要在云上环境进行流程和传输时，为保障客户能够掌控数据的访问权与流动方向，阿里 云提供了细粒度的权限管控策略、网络访问控制策略，并在核心数据存储类产品上，提供了更为 安全的私网访问通道。
阿里云的权限管控基于 RAM（Resource Access Management）机制，用 于帮助客户管理身份和资源访问权限。RAM 机制同时具备基于角色的 RBAC （基于角色的访问控制）和 ABAC（基于属性的访问控制）能力，能够做到 资源粒度的最小授权，并且可以为权限施加 Condtion 限制，如只有某特定可 信网段来源的请求才允许访问。
除身份权限方面的限制外，对于 ECS、RDS 等资源，阿里云还提供了网络 安全组能力，可限制只有特定网段才能访问资源，或限制 ECS 实例对外访问 公网资源。以此来支持客户配置细粒度的访问控制策略，保护数据安全。
以 OSS 为例，OSS 提供了最细到 Object 粒度的访问控制策略，并提供私 网连接（PrivateLink）通道，以保障 OSS 内的数据，仅可通过私网通信链路， 在某个特定 VPC 内访问。
2.4 可信计算与机密计算
可信计算与机密计算是保障数据安全的高阶能力，能够保障客户数据主权及数据机密性，客户直 接选用对应规格，并完成少量配置即可使用高阶功能，完成自身的数据安全加固。
- 可信计算
可信计算是用于实现云租户计算环境底层高等级安全的主要功能之一。通过虚 拟化层面的可信能力 vTPM 作为可信根，构建涵盖系统启动和用户指定应用 的信任链并实现远程证明机制，为用户提供了针对环境启动阶段和运行阶段的 全方位可信保障。在系统和应用中加入可信验证，能够减少由于使用未知或遭 到篡改的系统 / 软件遭到攻击的可能性。
可信计算技术为用户的 ECS 实例提供可验证的完整性，以确保实例未受到启 动级或内核级恶意软件或 Rootkit 的侵害。可信实例通过使用 UEFI 安全固件、 虚拟可信平台模块（vTPM/vTCM） 、远程证明服务，实现实例启动度量和 完整性校验，从而保障实例的安全可信。
- 机密计算
机密计算可为客户提供物理级的安全计算环境，以虚拟化 Enclave 为例，阿 里云虚拟化 Enclave 在 ECS 实例内部提供一个可信的隔离空间，将合法软 件的安全操作封装在一个 Enclave 中，保障客户的代码和数据的机密性与完 整性，不受恶意软件的攻击。
阿里云为适配不同企业的不同场景需求，同时支持 Intel® SGX 机密计算技 术、Intel® TDX 机密计算技术、海光安全加密虚拟化 CSV（China Secure Virtualization）技术，可供金融、医疗这类对敏感和机密数据有强保护需求 的业务选择。
