管理访问凭据_阿里云SDK-阿里云帮助中心

使用阿里云SDK方式调用OpenAPI时，需要提供凭据信息，阿里云提供的Credentials工具封装了获取和管理凭据的功能逻辑，帮助您快速创建请求客户端。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：

阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）。一组由AccessKey ID和AccessKey Secret组成的密钥对。
阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。
Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

使用Credentials工具要求Java版本 >= 1.8。
使用V2.0版本的阿里云SDK。
自建网关类产品的自研SDK无法使用。

安装Credentials工具

Maven安装方式。

<dependency>
   <groupId>com.aliyun</groupId>
   <artifactId>credentials-java</artifactId>
   <version>LATEST</version>
</dependency>

建议使用最新发布的Credentials版本。
请查看ChangeLog.txt获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端。您可通过调用setType指定类型。

使用默认凭据链

当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        // 不指定参数
        Config config = new Config();
        Client client = new Client(config);
    }
}

接口调用方法

通过默认凭据提供链自动创建访问凭证，并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用默认凭证初始化Credentials Client。
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client();
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。

推荐使用最小化授权的RAM用户的AK。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        config.setType("access_key");
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}

接口调用方法

通过Credentials工具读取AK，完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用AK 初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("access_key");
        // 设置为AccessKey ID值。
        credentialsConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
      	// 设置为AccessKey Secret值。
      	credentialsConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        config.setType("sts");
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        config.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        Client client = new Client(config);
    }
}

接口调用方法

通过Credentials工具读取临时安全令牌（STS Token），完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用STS Token初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("sts");
        // 设置为AccessKey ID值。
        credentialsConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
      	// 设置为AccessKey Secret值。
      	credentialsConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        // 设置为STS Token值。
      	credentialsConfig.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可调用setPolicy函数限制RAM角色到一个更小的权限集合。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {

  public static void main(String[] args) throws Exception {
    Config config = new Config();
    config.setType("ram_role_arn");
    config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
    config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
    // 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
    config.setRoleArn("<RoleArn>");
    // 角色会话名称
    config.setRoleSessionName("<RoleSessionName>");
    // 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    config.setPolicy("<Policy>");
    config.setRoleSessionExpiration(3600);
    Client client = new Client(config);
  }
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用RamRoleArn初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("ram_role_arn");
      	// 设置为AccessKey ID值。
        credentialsConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
      	// 设置为AccessKey Secret值。
      	credentialsConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
    		// 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
    		credentialsConfig.setRoleArn("<RoleArn>");
    		// 角色会话名称
    		credentialsConfig.setRoleSessionName("<RoleSessionName>")
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config config = new Config();
        config.setType("ecs_ram_role");
        // 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数
        config.setRoleName("<RoleName>");
        Client client = new Client(config);
    }
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用 EcsRamRole 初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("ecs_ram_role");
      	// 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数
      	credentialsConfig.setRoleName("<RoleName>");
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用OIDCRoleArn

在容器服务 Kubernetes 版中设置了Worker节点RAM角色后，对应节点内的Pod中的应用也就可以像ECS上部署的应用一样，通过元数据服务（Meta Data Server）获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用（比如部署您的客户提交的应用，代码也没有对您开放），您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全，同时又能让这些不可信的应用安全地获取所需的 STS Token，实现应用级别的权限最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件，并将相关配置信息注入到环境变量中，Credentials工具通过获取环境变量的配置信息，调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

注入的环境变量如下：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {

  public static void main(String[] args) throws Exception {
    Config config = new Config();
    config.setType("oidc_role_arn");
    config.setRoleArn(System.getenv("ALIBABA_CLOUD_ROLE_ARN"));
    config.setOidcProviderArn(System.getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN"));
    config.setOidcTokenFilePath(System.getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE"));
    // 角色会话名称
    config.setRoleSessionName("<RoleSessionName>");
    // 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    config.setPolicy("<Policy>");
    // Not required, the external ID of the RAM role
    // This parameter is provided by an external party and is used to prevent the confused deputy problem.
    config.setExternalId("<ExternalId>");
    // 设置session过期时间
    config.setRoleSessionExpiration(3600);
    Client client = new Client(config);
  }
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用OIDCRoleArn初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("oidc_role_arn");
        credentialsConfig.setRoleArn(System.getenv("ALIBABA_CLOUD_ROLE_ARN"));
    		credentialsConfig.setOidcProviderArn(System.getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN"));
    		credentialsConfig.setOidcTokenFilePath(System.getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE"));
    		// 角色会话名称
    		credentialsConfig.setRoleSessionName("<RoleSessionName>");
    		// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    		credentialsConfig.setPolicy("<Policy>");
    		// Not required, the external ID of the RAM role
    		// This parameter is provided by an external party and is used to prevent the confused deputy problem.
    		credentialsConfig.setExternalId("<ExternalId>");
    		// 设置session过期时间
    		credentialsConfig.setRoleSessionExpiration(3600);
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

使用URI凭据

该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token，完成凭据客户端初始化。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config config = new Config();
        config.setType("credentials_uri");
        // 换取凭证的 URI，格式为http://local_or_remote_uri/
        config.setCredentialsUri("<local_or_remote_uri>");
        Client client = new Client(config);
    }
}

接口调用方法

指定Credentials提供地址，实现通过本地或远程的URI来获取并自动更新Token，完成云产品接口的调用。

调用单个云产品的接口需要云产品依赖。本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Python SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用RamRoleArn初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("credentials_uri");
        // Credentials URI，格式为http://local_or_remote_uri/。
      	credentialsConfig.setCredentialsUri("<local_or_remote_uri>");
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
      	com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }

使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config config = new Config();
        config.setType("bearer");
        // 填入您的Bearer Token
        config.setBearerToken("<BearerToken>");
        Client client = new Client(config);
    }
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用RamRoleArn初始化Credentials Client。
        com.aliyun.credentials.models.Config credentialsConfig = new com.aliyun.credentials.models.Config();
        // 凭证类型。
      	credentialsConfig.setType("bearer");
        // 服务器端自动生成的Bearer Token，带有效期。
      	credentialsConfig.setCredentialsUri("<bearer_token>");
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client(credentialsConfig);
        
        com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
      	ecsConfig.setEndpoint("ecs.aliyuncs.com");
      	// 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
      	// 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeInstancesRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeInstancesRequest, runtime);
        System.out.println(response.body.toMap());
    }
}

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用Client client = new Client()初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用系统属性

Credentials工具会优先在系统属性中获取凭据信息。

当系统属性alibabacloud.accessKeyId（密钥key）、alibabacloud.accessKeyIdSecret（密钥value）均已设置且不为空时，Credentials工具会优先使用它们作为默认凭据。

您可在运行Java程序时，添加属性-Dalibabacloud.accessKeyId=*** -Dalibabacloud.accessKeyIdSecret=***来指定。

2. 使用环境变量

若不存在优先级更高的凭据信息，Credentials工具会优先在环境变量中获取凭据信息。

如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）不为空，Credentials工具会优先使用它们作为默认凭据。
如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）、ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）、ALIBABA_CLOUD_SECURITY_TOKEN（Token）均不为空，Credentials工具会优先使用STS Token作为默认凭据。

3. 使用OIDC RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取如下内容：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

若以上三个环境变量都有设置内容，Credentials将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。

4. 使用配置文件

若不存在优先级更高的凭据信息，Credentials工具会优先在如下位置查找文件是否存在。

Linux系统：~/.alibabacloud/credentials

Windows系统： C:\Users\USER_NAME\.alibabacloud\credentials

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端，当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

配置示例信息如下：

[default]
enable=true
type=access_key
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>

[client1]
enable=true
type=sts
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
security_token=<security_token>

[client2]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>

[client3]
enable=true
type=ram_role_arn
policy=<policy_name>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>

5. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。

推荐使用ECS实例RAM角色或者使用STS方式。
推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。

如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过System.getProperty及 System.getenv获取。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        config.setType("access_key");
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端，传入到不同的接口请求客户端。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config1 = new Config();
        config1.setType("access_key");
        config1.setAccessKeyId("<ALIBABA_CLOUD_ACCESS_KEY_ID>");
        config1.setAccessKeySecret("<ALIBABA_CLOUD_ACCESS_KEY_SECRET>");
        Client client1 = new Client(config1);
      
        Config config2 = new Config();
        config2.setType("access_key");
        config2.setAccessKeyId("<ALIBABA_CLOUD_ACCESS_KEY_ID>");
        config2.setAccessKeySecret("<ALIBABA_CLOUD_ACCESS_KEY_SECRET>");
        Client client2 = new Client(config2);
    }
}

使用AuthUtils

当我们初始化凭据客户端采用配置文件记录凭据信息时，可以使用AuthUtils.setClientType切换到不同的凭据配置上。

[default]
enable=true
type=access_key
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>

[client1]
enable=true
type=sts
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
security_token=<security_token>

[client2]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>

示例代码如下。

import com.aliyun.credentials.utils.AuthUtils;
// 若不配置AuthUtils类clientType属性，则默认使用default。
com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client();
// 切换到client1凭据上
AuthUtils.setClientType("client1");
com.aliyun.credentials.Client credentialClient1 = new com.aliyun.credentials.Client();
// 切换到client2凭据上
AuthUtils.setClientType("client2");
com.aliyun.credentials.Client credentialClient2 = new com.aliyun.credentials.Client();

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS Java SDK。

public class Sample {
    public static void main(String[] args) throws Exception {
        // 使用默认凭证初始化Credentials Client。
        com.aliyun.credentials.Client credentialClient = new com.aliyun.credentials.Client();
        /* 使用配置文件中client1初始化Credentials Client。*/
        AuthUtils.setClientType("client1");
        com.aliyun.credentials.Client credentialClient1 = new com.aliyun.credentials.Client();

        com.aliyun.teaopenapi.models.Config ecsConfig = new com.aliyun.teaopenapi.models.Config();
        // 配置云产品服务接入地址（endpoint）。
        ecsConfig.setEndpoint("ecs.aliyuncs.com");
        // 使用Credentials配置凭证。
        ecsConfig.setCredential(credentialClient);
        // 初始化ECS Client。
        com.aliyun.ecs20140526.Client ecsClient = new com.aliyun.ecs20140526.Client(ecsConfig);
        // 初始化DescribeRegions请求。
        com.aliyun.ecs20140526.models.DescribeRegionsRequest describeRegionsRequest = new com.aliyun.ecs20140526.models.DescribeRegionsRequest();
        // 初始化运行时配置。
        com.aliyun.teautil.models.RuntimeOptions runtime = new com.aliyun.teautil.models.RuntimeOptions();
        // 调用DescribeRegions接口并获得响应。
        com.aliyun.ecs20140526.models.DescribeRegionsResponse response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
        System.out.println(response.body.toMap());
    }
}