Terraform 身份认证

静态配置是指直接在 Terraform 配置文件的 provider 块中定义访问凭证。

参数

provider "alicloud" {
  access_key = "<Access Key ID>"
  secret_key = "<Access Key Secret>"
  # 如果使用 STS 凭证，需配置 security_token
  # security_token = "<STS Token>"
}

示例配置

为提高安全性，建议通过变量传入访问凭证，而非在配置文件中硬编码明文，且变量不设置默认值：

variable "access_key_id" {
  description = "The AccessKey ID for operating your infrastructure"
}
variable "access_key_secret" {
  description = "The AccessKey Secret for operating your infrastructure"
}
variable "security_token" {
  description = "The Security Token for operating your infrastructure"
}
provider "alicloud" {
  access_key = var.access_key_id
  secret_key = var.access_key_secret
  # 如果使用 STS 凭证，需配置 security_token
  # security_token = var.security_token
}

运行 terraform 命令时，可通过 -var 选项传入变量值：

$ terraform plan -var access_key_id="<Access Key ID>" -var access_key_secret="<Access Key Secret>" -var security_token="<STS Token>"

将访问凭证保存在环境变量中。当配置文件中未静态配置凭证时，Terraform 会从指定的环境变量中读取凭证。

参数

示例配置

# AccessKey ID
$ export ALICLOUD_ACCESS_KEY="<AccessKey ID>"
# AccessKey Secret
$ export ALICLOUD_SECRET_KEY="<AccessKey Secret>"
# 如果使用 STS 凭证，需配置 security_token
$ export ALICLOUD_SECURITY_TOKEN="<STS Token>"

provider "alicloud" {
  region = "cn-hangzhou"
}

当 Terraform 运行在 ECS 实例上时，可使用 ECS 服务角色进行身份认证。通过为 ECS 实例关联一个 RAM 角色，实例内部的应用程序（包括 Terraform）可以自动获取并刷新临时访问凭证。此方式无需配置 AccessKey，降低了密钥泄露风险，并可通过 RAM 角色实现精细化的权限控制。详情请参见实例RAM角色。

参数

示例配置

1. 准备一台具有公网访问能力的 ECS 实例。

2. 创建一个 RAM 角色，并将其绑定到该 ECS 实例。

3. 在 provider 块中设置 ecs_role_name 参数，其值为该 RAM 角色的名称：

provider "alicloud" {
  ecs_role_name = "<绑定到 ECS 实例上的 RAM 角色名称>"
}

该参数也支持通过环境变量 ALICLOUD_ECS_ROLE_NAME 设置。

基于 ECS 服务角色的认证方式安全性高，建议在 ECS 实例中执行 Terraform 时使用此方式。

OIDC 角色扮演与角色扮演（AssumeRole）类似，都是通过获取 RAM 角色的临时凭证来访问阿里云资源。其区别在于，OIDC 角色扮演所扮演的身份由 OIDC 身份提供商（IdP）颁发。详情请参见管理OIDC身份提供商。

参数

配置 OIDC 角色扮演时，所有相关参数均在 assume_role_with_oidc 块中设置：

示例配置

OIDC 角色扮演认证是通过调用 AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证 实现。配置前，需准备以下信息：

1. 创建 OIDC 身份提供商，从外部 IdP 获取 OIDC 令牌（OIDC Token），并记录提供商的 ARN 和 OIDC Token。

2. 创建一个授信实体为“身份提供商”的 RAM 角色，为其授予所需权限（如 AliyunOSSFullAccess），并记录该角色的 ARN。

3. （可选）编写一个 RAM 自定义权限策略（如仅允许访问杭州地域的 Bucket），用于与角色权限取交集，以实现更精细的访问控制。

准备完成后，在 provider 块中进行如下配置：

provider "alicloud" {
  assume_role_with_oidc {
    oidc_provider_arn  = "<OIDC 身份提供商的 ARN>"
    oidc_token         = "<外部 IDP 申请签发的 OIDC Token>"
    role_arn           = "<RAM 角色的 ARN>"
    policy             = "<RAM 权限策略的具体内容>"
    role_session_name  = "<自定义的角色会话名称>"
    session_expiration = <临时身份访问凭证的最大有效期>
  }
}

阿里云容器服务 ACK 支持通过 RRSA 功能自动创建 OIDC Provider 和签发 OIDC 令牌。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。开启 RRSA 后，ack-pod-identity-webhook 组件会自动为 Pod 注入 ALIBABA_CLOUD_OIDC_PROVIDER_ARN、ALIBABA_CLOUD_OIDC_TOKEN_FILE 和 ALIBABA_CLOUD_ROLE_ARN 环境变量。在此环境下，若要在 ACK Pod 内运行 Terraform，上述示例可简化为：

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

如果不需要通过 policy 参数进行精细化授权，可直接将所需权限授予 RAM 角色。此时，配置可进一步简化：

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

角色扮演（AssumeRole）适用于需要将权限与身份（如 RAM 用户或 ECS 实例角色）分离，或需要跨账号访问资源的场景。它通过一个已有身份（如 RAM 用户）扮演另一个 RAM 角色，从而获取该角色的临时凭证来访问资源。

参数

配置角色扮演时，支持以下参数：

1. access_key / secret_key 用于扮演角色的 RAM 用户的 AccessKey。该用户必须拥有 sts:AssumeRole 权限。这些参数也支持通过环境变量设置。

2. assume_role：是一个配置块，包含以下参数：

示例配置

角色扮演认证通过调用 AssumeRole - 获取扮演角色的临时身份凭证 实现。配置前，需准备以下内容：

1. 创建一个 RAM 用户，并授予 AliyunSTSAssumeRoleAccess 策略（或包含 sts:AssumeRole 权限的自定义策略）。

2. 为该 RAM 用户创建 AccessKey。

3. 创建一个授信实体为“阿里云账号”的 RAM 角色，为其授予所需权限（如 AliyunOSSFullAccess），并记录该角色的 ARN。

4. （可选）编写一个 RAM 自定义权限策略，用于与角色权限取交集，以实现更精细的访问控制。

准备完成后，在 provider 块中进行如下配置：

provider "alicloud" {
  # 用于调用 AssumeRole 的 RAM 用户的 AccessKey ID
  access_key = "<RAM 用户的 AccessKey ID>"
  # 用于调用 AssumeRole 的 RAM 用户的 AccessKey Secret
  secret_key = "<RAM 用户的 AccessKey Secret>"
  assume_role {
    role_arn           = "<一个 RAM 角色的 ARN>"
    policy             = "<一个 RAM 权限策略的具体内容>"
    session_name       = "<一个自定义的角色会话名称>"
    session_expiration = <临时身份访问凭证的最大有效期>
  }
}

以下示例演示了如何通过角色扮演获取访问杭州地域 OSS Bucket 列表的权限。为安全起见，示例中的 access_key 和 secret_key 通过环境变量设置，未在代码中明文写入：

provider "alicloud" {
  # 为了安全起见，此处的 access_key 和 secret_key 已经通过环境变量进行了设置
  region = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

如果 Terraform 运行在 ECS 实例上，可结合 ECS 服务角色，避免硬编码 AccessKey。此时，只需为绑定到 ECS 实例的 RAM 角色授予 AliyunSTSAssumeRoleAccess 策略即可。配置方式如下：

provider "alicloud" {
  ecs_role_name = "<绑定到 ECS 实例上的 RAM 角色名称>"
  region        = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

通过访问一个指定的 URI 来获取凭证。

参数

示例配置

provider "alicloud" {
  region = "cn-hangzhou"
  credentials_url= "http://credentials.uri/"
}