默认凭据概述

步骤一：确认云产品支持情况

在开始之前，请确认您使用的云产品支持默认凭据功能。默认凭据由用户在云产品侧触发创建，云产品扮演RAM角色在KMS侧创建默认凭据。

步骤二：配置访问权限

要允许您的应用程序（通过RAM角色）或开发人员（通过RAM用户）获取凭据值，您必须为其授予相应的RAM权限。

您可以配置基于身份的策略，若使用付费模式，还可以配置凭据策略以实现更灵活的授权。

• 基于身份的策略

  该策略授权给RAM用户或RAM角色上，用于控制其能访问哪些凭据。授权的具体操作，请参见授权信息。

  以下示例表示允许访问百炼（产品码mcp）创建的所有默认凭据。

  {
  	"Version": "1",
  	"Statement": [{
  		"Effect": "Allow",
  		"Action": [
  			"kms:List*",
  			"kms:Describe*",
  			"kms:GetSecretValue"
  		],
  		"Resource": "acs:kms:${region}:${account}:secret/mcp!*"
  	}]
  }

• 凭据策略（仅限付费模式）

  该策略直接附加在默认凭据资源上，常用于实现跨账号授权。

  以下示例表示，允许另一个阿里云账号（190325303126****）下的RAM用户（key_ramuser3）获取此凭据的凭据值。

   {
      "Statement": [
          {
              "Action": [
                  "kms:List*",
                  "kms:Describe*",
                  "kms:GetSecretValue"
              ],
              "Effect": "Allow",
              "Principal": {
                  "RAM": [
                      "acs:ram::190325303126****:user/key_ramuser3"
                  ]
              },
              "Resource": [
                  "acs:kms:cn-hangzhou:123456789012****:secret/ai-gateway!secret-name"
              ]
          }],
      "Version": "1"
  }