服务凭证管理（API Key）

核心特征

• 服务范围隔离：每个 API Key 在创建时指定一个云服务（ServiceName），仅可调用该云服务接入的 API；不能跨服务调用，也不能通过授权扩大服务范围。

• 权限叠加最小化：API Key 的最终权限 = 所属 RAM 用户的权限 ∩ 该云服务 Scope。即使 RAM 用户拥有多服务权限，API Key 也只能在指定服务范围内生效。

• 身份限定：仅 RAM 用户可创建 API Key，阿里云账号（主账号）不支持创建，以减少凭证泄露的影响范围。

• 名称差异：OpenAPI、SDK 中使用 ServiceCredential（服务凭证），控制台为便于理解使用 API Key。两者指同一资源。

API Key 与 AccessKey 的区别

API Key 与 AccessKey 都是 RAM 用户的长期身份凭证，但服务范围、签发方式和适用场景不同。

生命周期状态

API Key 在生命周期内可处于以下三种状态：

• 已启用：凭证可用于调用绑定云服务的 OpenAPI。创建后默认为该状态。

• 已禁用：凭证暂时不可用。可通过启用恢复为 Active。删除前必须先进入此状态。

• 已过期：到达过期时间后系统自动转入此状态，凭证永久失效，不可恢复。需重新创建。

配额与有效期

• 配额：每个 RAM 用户在每个云服务下最多创建 2 个 API Key（含 Active 与 Inactive），不可提升。已过期的API Key仍占用配额，已删除的 API Key 不占用配额。

• 有效期单位：天。

• 取值范围：控制台预置 1 / 7 / 30 / 90 天与永不过期，并支持自定义。

• OpenAPI 默认：调用 CreateServiceCredential 时不传 CredentialAgeDays，默认永不过期。

• 过期不可恢复：到期后凭证状态变为 Expired 且永久失效，无法通过启用恢复为可用状态，需删除并重新创建。

支持的云服务

在 RAM 控制台 用户详情 页 > 凭证管理 标签页 > API Keys 区块中点击 创建 API Key，云服务 下拉中可选项即为账号当前可用的云服务。每个云服务支持调用的 API 范围请参阅相应云产品文档。

RAM 用户如何自主管理

阿里云账号或具备相应权限的 RAM 管理员，可在 RAM 安全设置中通过 AllowUserToManageServiceCredential 控制是否允许 RAM 用户自主管理自己的 API Key。该开关的两种状态及其影响如下：

• 允许自主管理：RAM 用户可登录控制台或调用 OpenAPI 自行创建、更新、删除自己的 API Key，前提是未被管理员通过权限策略明确拒绝（即不存在显式 Deny 策略）。

• 不允许自主管理：RAM 用户无法管理自己的 API Key，须由具备 ram:CreateServiceCredential 等权限的管理员代为创建与维护。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

API Key 数据结构

每个 API Key 由以下核心字段组成。OpenAPI 返回的字段名以 ServiceCredential 为命名前缀；控制台中字段名经过翻译呈现。

安全建议

• 为 API Key 设置过期时间：短期测试避免设置永不过期。其他情况下建议设置有效期，建议根据云服务的使用周期设定 30 天或 90 天，并在到期前轮转。

• 创建后务必立即复制或下载 CSV 保存 API Key 明文，关闭弹窗后将无法再次获取；遗失只能删除后重新创建。

• 将 API Key 视为高敏感凭证，禁止以明文形式提交到代码仓库、配置文件或日志，建议接入凭证托管或 KMS 加密存储。