阿里云 CLI 配置其他凭证（OIDC / CloudSSO / External / CredentialsURI / BearerToken）

前提条件

• 已创建 ACK 或 ACS 集群，并启用RRSA功能（ACK）/启用RRSA功能（ACS）。

• 已创建OIDC身份提供商的RAM角色，信任策略允许集群自动创建的 OIDC 身份提供商（格式为 ack-rrsa-{cluster-id}）扮演。

• Pod 使用的 ServiceAccount 已通过 RRSA 关联到对应 RAM 角色。

配置凭证

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

配置完成后，在 Pod 内运行命令aliyun sts get-caller-identity验证凭证是否生效。

凭证的刷新

ACK/ACS 集群会自动轮转 Pod 中的 OIDC Token 文件。CLI 会自动调用阿里云 STS 服务的AssumeRoleWithOIDC 接口，传入最新的OIDC Token刷新凭证，整个过程对用户透明。

前提条件

• 企业已部署 Cloud SSO 并配置了用户目录和访问配置。

• Cloud SSO 用户已被分配至少一个访问配置。

• 已从管理员处获取 Cloud SSO 登录地址，格式通常为 https://signin-<region>.alibabacloudsso.com/<directory-name>/login。关于如何获取CloudSSO用户登录地址，请参考获取用户门户地址。

配置凭证

1. 运行以下命令开始配置。将 <ProfileName> 替换为自定义的配置名称（如 SSOProfile）：

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. 根据提示输入用户登录地址SignIn Url。

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. 在弹出的浏览器窗口中，根据界面提示，完成云SSO用户登录，登录成功后请关闭浏览器窗口。

   说明

   如果浏览器窗口未弹出或当前为纯终端环境，您可以根据CLI的提示信息，手动复制登录URL（SignIn url）和用户码（User code）在浏览器中完成登录。

   提示信息示例：

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. CLI返回登录成功，同时列出您可以访问的资源目录管理账号或成员账号名称，请输入编号选择要访问的账号。

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. CLI列出您可以使用的访问配置（即用户权限配置），请输入编号选择要使用的访问配置。

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. 设置默认地域及语言，如：

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   具体地域请参见地域和可用区。部分云产品不支持跨地域访问，建议您优先将默认地域设置为已购资源所在地域。

7. 终端显示 Configure Done 及欢迎信息，表示配置成功。

配置完成后，运行命令aliyun sts get-caller-identity验证凭证是否生效。

凭证的刷新

CloudSSO 凭证不自动刷新，过期后需要重新使用命令aliyun configure --mode CloudSSO --profile <ProfileName>进行配置。

前提条件

• 有一个可执行程序或脚本，能在 stdout 输出规定格式的 JSON 凭证。格式要求如下：

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  StsToken

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• 程序退出码必须为 0（非 0 视为失败）。

配置凭证

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

配置完成后，运行命令aliyun sts get-caller-identity验证凭证是否生效。

凭证的刷新

在使用External 凭证模式下，CLI不会缓存凭证，也不会自动刷新凭证。CLI在每次需要凭证时都重新执行外部程序。凭证的刷新逻辑依赖外部程序实现。

前提条件

有一个 HTTP/HTTPS 端点，能返回规定格式的 JSON 凭证响应（HTTP 200）。响应体为以下 JSON 格式：

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

配置凭证

凭证的刷新

过期后 CLI 重新向端点发起 HTTP GET 请求获取新凭证，整个过程对用户透明。HTTP 凭证服务需自行确保每次请求都返回有效的 STS Token。

前提条件

• 已获取目标服务颁发的 Bearer Token。

• 已安装目标产品的 CLI 插件：aliyun plugin install --name <plugin-name>。

配置凭证

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

配置完成后，运行以下命令通过插件调用目标产品 API 验证凭证是否生效：

aliyun <command> <sub-command> --profile BearerProfile

环境变量

BearerToken 模式支持通过以下环境变量配置凭证参数：