通过配置Credentials实现OpenAPI安全调用（PHP SDK）_阿里云SDK(Alibaba Cloud SDK)-阿里云帮助中心

当您通过阿里云SDK调用OpenAPI进行资源操作时，必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能，使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证，AccessKey（AK），还是安全令牌服务（STS）令牌等，Credentials工具都能为您提供相应支持。此外，本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证，从而确保您对云资源的操作既有效率又具有高度安全性。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：

阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）。一组由AccessKey ID和AccessKey Secret组成的密钥对。
阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。
Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

使用Credentials工具要求PHP版本 >= 5.6。强烈建议您使用cURL扩展，并使用TLS后端编译cURL 7.16.2+。
使用V2.0版本的阿里云SDK。
自建网关类产品的自研SDK无法使用。

安装Credentials工具

如果已在系统上全局安装 Composer，请直接在项目目录中运行以下内容来安装 Alibaba Cloud Credentials for PHP 作为依赖项：

composer require alibabacloud/credentials

建议使用最新发布的Credentials工具版本。
请查看CHANGELOG.md获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端。您可通过设置type指定类型。

使用默认凭据链

当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。

<?php

use AlibabaCloud\Credentials\Credential;

// 不指定参数
$credential = new Credential([]);
$credential->getAccessKeyId();
$credential->getAccessKeySecret();

接口调用方法

通过默认凭据提供链自动创建访问凭证，并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');

// 使用默认凭证初始化Credentials Client。
$credentialClient = new Credential([]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credential,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($config);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。

推荐使用最小化授权的RAM用户的AK。

<?php

use AlibabaCloud\Credentials\Credential;

$ak = new Credential([
    'type'              => 'access_key',
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
]);
$ak->getAccessKeyId();
$ak->getAccessKeySecret();

接口调用方法

通过Credentials工具读取AK，完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

namespace AlibabaCloud\SDK\Sample;
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
    // 凭证类型。
    'type'              => 'access_key',
    // 设置为AccessKey ID值。
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    // 设置为AccessKey Secret值。
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET')
]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credentialClient,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。

{
  "RequestId": "EA7A3526-F7DB-54A5-8300-9B742CFAA5EA",
  "AssumedRoleUser": {
    "Arn": "acs:ram::125499367423****:role/STStokenTestRole/STSsessionName",
    "AssumedRoleId": "35219123109646****:STSsessionName"
  },
  "Credentials": {
    "SecurityToken": "exampleToken",
    "AccessKeyId": "STS.exampleAccessKeyID",
    "AccessKeySecret": "exampleAccessKeySecret",
    "Expiration": "2023-03-26T05:26:06Z"
  }
}

<?php

use AlibabaCloud\Credentials\Credential;

$sts = new Credential([
    'type'             => 'sts',
  	// <ALIBABA_CLOUD_ACCESS_KEY_ID>需替换为返回数据中获取的临时AccessKeyId。
    'access_key_id'     => '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
  	// <ALIBABA_CLOUD_ACCESS_KEY_SECRET>需替换为返回数据中获取的临时AccessKeySecret。
    'access_key_secret' => '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
  	// <ALIBABA_CLOUD_SECURITY_TOKEN>需替换为返回数据中获取的临时SecurityToken。
    'security_token'   => '<ALIBABA_CLOUD_SECURITY_TOKEN>',
]);
$sts->getAccessKeyId();
$sts->getAccessKeySecret();
$sts->getSecurityToken();

接口调用方法

通过Credentials工具读取临时安全令牌（STS Token），完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

namespace AlibabaCloud\SDK\Sample;
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
    // 凭证类型。
    'type'             => 'sts',
  	// <ALIBABA_CLOUD_ACCESS_KEY_ID>需替换为返回数据中获取的临时AccessKeyId。
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
  	// <ALIBABA_CLOUD_ACCESS_KEY_SECRET>需替换为返回数据中获取的临时AccessKeySecret。
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
  	// <ALIBABA_CLOUD_SECURITY_TOKEN>需替换为返回数据中获取的临时SecurityToken。
    'security_token'   => getenv('ALIBABA_CLOUD_SECURITY_TOKEN'),
]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credentialClient,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。

<?php

use AlibabaCloud\Credentials\Credential;

$ramRoleArn = new Credential([
    'type'              => 'ram_role_arn',
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
    // 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
    'role_arn'          => '<RoleArn>',
    // 角色会话名称
    'role_session_name' => '<RoleSessionName>',
    // 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    'policy'            => '<Policy>',
]);
$ramRoleArn->getAccessKeyId();
$ramRoleArn->getAccessKeySecret();
$ramRoleArn->getRoleArn();
$ramRoleArn->getRoleSessionName();
$ramRoleArn->getPolicy();

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

namespace AlibabaCloud\SDK\Sample;
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
    // 凭证类型。
    'type'              => 'ram_role_arn',
    // 设置为AccessKey ID值。
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    // 设置为AccessKey Secret值。
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
    // 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
    'role_arn'          => '<RoleArn>',
    // 角色会话名称
    'role_session_name' => '<RoleSessionName>',
    // 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    'policy'            => '<Policy>',
]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credentialClient,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

<?php

use AlibabaCloud\Credentials\Credential;

$ecsRamRole = new Credential([
    'type'      => 'ecs_ram_role',
    // 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数
    'role_name' => '<RoleName>',
]);
$ecsRamRole->getRoleName();

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

namespace AlibabaCloud\SDK\Sample;
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
    // 凭证类型。
    'type'              => 'ecs_ram_role',
    // 可选项，不填会自动获取，但是建议加上以减少请求次数
    'role_name' => '<RoleName>',
]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credentialClient,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

<?php

use AlibabaCloud\Credentials\Credential;

$bearerToken = new Credential([
    'type'         => 'bearer',
    // 填入您的Bearer Token
    'bearer_token' => '<BearerToken>',
]);
$bearerToken->getBearerToken();
$bearerToken->getSignature();

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

<?php

namespace AlibabaCloud\SDK\Sample;
use Darabonba\OpenApi\Models\Config;
use AlibabaCloud\Credentials\Credential;
use AlibabaCloud\SDK\Ecs\V20140526\Ecs as Ecs;
use AlibabaCloud\Tea\Utils\Utils\RuntimeOptions;
use AlibabaCloud\SDK\Ecs\V20140526\Models\DescribeRegionsRequest;

// composer 自动加载机制，require_once(vendor目录下autoload.php文件)
require_once('../vendor/autoload.php');
// 使用AK 初始化Credentials Client。
$credentialClient = new Credential([
    // 凭证类型。
    'type'         => 'bearer',
    // 填入您的Bearer Token
    'bearer_token' => '<BearerToken>',
]);
$ecsConfig = new Config([
    // 使用 credential 配置凭证
    'credential'        => $credentialClient,
    // 产品服务域名
    'endpoint'          => 'ecs.aliyuncs.com'
]);
// 初始化ECS client
$ecsClient = new Ecs($ecsConfig);
// 初始化 request
$describeRegionsRequest = new DescribeRegionsRequest([]);
// 初始化运行时配置
$runtime = new RuntimeOptions([]);
$resp = $ecsClient->describeRegionsWithOptions($describeRegionsRequest, $runtime);
// 输出状态码
echo $resp->statusCode;
// 输出响应
var_dump($resp);

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用$credential = new Credential();初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）不为空，Credentials工具会优先使用它们作为默认凭据。

2. 使用配置文件

若不存在优先级更高的凭据信息，Credentials工具优先在如下位置查找文件是否存在。

Linux系统：~/.alibabacloud/credentials

Windows系统：C:\Users\USER_NAME\.alibabacloud\credentials

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端，当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

[default]
type = access_key                  
access_key_id = foo               
access_key_secret = bar            

[project1]
type = ecs_ram_role               
role_name = EcsRamRoleTest         

[project2]
type = ram_role_arn                
access_key_id = foo
access_key_secret = bar
role_arn = role_arn
role_session_name = session_name

[project3]
type = rsa_key_pair                
public_key_id = publicKeyId        
private_key_file = /your/pk.pem

3. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。

自定义凭证提供程序链

可通过自定义程序链代替默认程序链的寻找顺序，也可以自行编写闭包传入提供者。

<?php

use AlibabaCloud\Credentials\Providers\ChainProvider;

ChainProvider::set(
        ChainProvider::ini(),
        ChainProvider::env(),
        ChainProvider::instance()
);

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。

推荐使用ECS实例RAM角色或者使用STS方式。
推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。
如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过getenv及$_ENV获取。

<?php

use AlibabaCloud\Credentials\Credential;

$ak = new Credential([
    'type'              => 'access_key',
    'access_key_id'     => getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    'access_key_secret' => getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
]);
$ak->getAccessKeyId();
$ak->getAccessKeySecret();

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端，传入到不同的接口请求客户端。

<?php

use AlibabaCloud\Credentials\Credential;

$ak1 = new Credential([
    'type'              => 'access_key',
    'access_key_id'     => '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
    'access_key_secret' => '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
]);
$ak1->getAccessKeyId();
$ak1->getAccessKeySecret();

$ak2 = new Credential([
    'type'              => 'access_key',
    'access_key_id'     => '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
    'access_key_secret' => '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
]);
$ak2->getAccessKeyId();
$ak2->getAccessKeySecret();

管理访问凭据

背景信息

前提条件

安装Credentials工具

初始化凭据客户端

使用默认凭据链

接口调用方法

使用AK

接口调用方法

使用STS Token

接口调用方法

使用AK及RamRoleArn

接口调用方法

使用ECS实例RAM角色

接口调用方法

使用Bearer Token

接口调用方法

默认凭据链

1. 使用环境变量

2. 使用配置文件

3. 使用ECS实例RAM角色

自定义凭证提供程序链

如何保护凭据信息

如何切换凭据

使用多个凭据客户端

相关文档