使用访问凭证访问阿里云OpenAPI最佳实践

本文为您介绍如何在不同的场景中，实现以非AccessKey硬编码的方式编程，使用访问凭证访问阿里云OpenAPI。

背景信息

AccessKey（简称AK）是阿里云提供给阿里云用户的访问密钥，用于访问阿里云OpenAPI时的身份验证。AccessKey包括AccessKey ID和AccessKey Secret，需妥善保管。

访问阿里云OpenAPI时，如果在代码中硬编码明文AK，容易因代码仓库权限管理不当造成AK泄露，会威胁该账号下所有资源的安全。以非AccessKey硬编码的方式调用阿里云OpenAPI，可有效保证您账号下云资源的安全。

方案总览

容器实例角色扮演

前提条件

• 适用于支持RAM的云服务。

• RRSA功能目前仅支持1.22及以上版本的集群，即ACK集群基础版、ACK集群Pro版、ACK Serverless集群基础版和ACK Serverless集群Pro版。

• 使用V2.0版本的阿里云SDK。

• 自建网关类产品的自研SDK无法使用。

原理介绍

基于RRSA功能，您可以在集群内实现Pod级别隔离的应用关联RAM角色功能。各个应用可以扮演独立的RAM角色并使用获取的临时凭证访问云资源，从而实现应用RAM权限最小化以及无AccessKey访问阿里云OpenAPI避免AccessKey泄露的需求。

配置方法

• ACK容器集群开启RRAS功能。详细信息，请参见启用RRSA功能。

• ACK容器集群使用RRAS功能。详细信息，请参见使用RRSA功能。

代码示例

目前，阿里云V2.0 SDK已经内置了支持使用RRSA OIDC Token进行OpenAPI认证的功能，所有基于V2.0 SDK生成并且支持STS Token认证的云产品SDK都将默认支持RRSA OIDC Token认证。支持此功能的SDK版本信息和参考代码如下。

ECS实例角色扮演

前提条件

• 适用于支持阿里云RAM的云服务。

• 使用V2.0版本的阿里云SDK。

• 自建网关类产品的自研SDK无法使用。

原理介绍

实例RAM角色允许您将一个角色关联到ECS实例，在ECS实例内部基于STS（Security Token Service）临时凭证访问其他云产品的API，临时凭证将周期性更新。既可以保证云账号AccessKey的安全性，也可以借助访问控制RAM实现精细化控制和权限管理。

工作流程如下：

1. 应用程序访问ECS实例元数据获取STS临时凭证。详细信息，请参见ECS实例元数据概述。

2. 使用STS临时凭证访问云资源。详细信息，请参见什么是STS。

配置方法

为ECS实例授予RAM角色。详细信息，请参见通过ECS实例RAM角色授权ECS访问其他云服务。

示例代码

Alibaba Cloud Credentials是阿里云为阿里云开发者用户提供身份凭证管理工具，使用Credentials工具可以为您提供更加便捷的方式使用ECS实例角色扮演功能，以调用云服务器ECS的DescribeRegions接口为例，参考代码如下。

员工使用STS Token进行开发调试

场景描述

针对研发、运维、产品等职能员工，需要使用AccessKey进行运维、管理、调试等操作，建议通过角色SSO的方式，扮演其对应职能的RAM角色，获取STS Token。

配置方法

• 针对单账号场景，建议在云账号内配置基于SAML的角色SSO，并按职能为员工分配RAM角色。员工可以在命令行中使用saml2alibabacloud工具，完成IdP侧的认证后，即可获取到STS Token。

• 针对多账号场景，建议使用云SSO进行多账号的单点登录配置。配置完成后，员工即可使用CLI登录云SSO并访问阿里云资源。

函数计算使用STS Token

场景描述

客户在FC函数上部署的应用程序需要访问其他云资源，传统的方式是客户将RAM用户的AK（Access Key）固化在函数中，如果将AK写在配置文件中，容易造成AK泄露，维护困难等问题。FC函数RAM角色通过将FC函数和RAM角色关联，使用STS Token（Security Token Service）访问云资源，解决永久凭证可能导致的安全风险问题。

方案架构

本方案通过FC函数角色实现临时凭证的获取和使用。该架构和流程通过动态管理和临时授予访问权限，避免了长期暴露AK的风险，提高了系统的安全性和灵活性。管理员仅需一次性配置角色和权限，后续函数在运行时即可动态获取和使用临时凭证，简化了运维管理工作。

管理员创建一个受信给函数计算的Role（角色），并对该角色授予相应的权限。角色权限包含访问需要的云资源的权限（图中1）。管理员将创建好的角色配置到对应的FC函数上，使函数与角色关联（图中2）。客户应用程序从函数上下文中获取临时安全凭证（STS Token）（图中3），该过程中函数计算会使用云服务的身份调用AssumeRole接口，从RAM/STS服务获取STS Token（图中i）。 客户应用程序使用获取到的STS Token来调用目标云资源服务的API（图中4）。资源服务API处理请求并返回访问结果，客户端应用程序接收到返回的结果后完成相应的业务逻辑。

配置方法

具体操作，请参见通过FC函数角色实现临时凭证的获取和使用授予函数计算访问其他云服务的权限。

配置系统环境变量

配置方法

配置环境变量ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET。

• Linux和macOS系统配置方法

  执行以下命令：

  export ALIBABA_CLOUD_ACCESS_KEY_ID=<access_key_id>
  export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<access_key_secret>

  <access_key_id>需替换为已准备好的AccessKey ID，<access_key_secret>替换为AccessKey Secret。

• Windows系统配置方法

  1. 新建环境变量文件，添加环境变量ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET，并写入已准备好的AccessKey ID和AccessKey Secret。

  2. 重启Windows系统。

阿里云SDK代码示例

阿里云SDK支持通过定义ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET环境变量来创建默认的访问凭证。调用接口时，程序直接访问凭证，读取您的访问密钥（即AccessKey）并自动完成鉴权。以调用云服务器ECS的DescribeRegions接口为例，参考代码如下。

通用代码示例

对于自建网关类产品的自研SDK等无法使用阿里云SDK的场景，以Java语言为例，可以采用下面的方式加载环境变量。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        // Which type of credential you want
        config.setType("access_key");
        // AccessKeyId of your ram user
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // AccessKeySecret of your ram user
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}

相关文档

更多云上安全实践，请参阅以下文档：

• 凭据的安全使用方案

• 企业上云安全实践

• 应用程序使用AK的最佳方案

• ACK场景下应用程序访问云资源最佳实践

• 通过容器服务RRSA实现临时凭证的获取和使用

• 通过ECS实例角色实现临时凭证的获取和使用

• 通过FC函数角色实现临时凭证的获取和使用