管理访问凭证_阿里云SDK-阿里云帮助中心

使用阿里云SDK方式调用OpenAPI时，需要提供凭据信息，阿里云提供的Credentials工具封装了获取和管理凭据的功能逻辑，帮助您快速创建请求客户端。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：

阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）。一组由AccessKey ID和AccessKey Secret组成的密钥对。
阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。
Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

.NET Framework 4.5 及其以上版本。
.NET Standard 2.0 及其以上版本。
C# 4.0 及其以上版本。
使用V2.0版本的阿里云SDK。
自建网关类产品的自研SDK无法使用。

安装Credentials工具

通过 .NET CLI 工具安装。
```
dotnet add package Aliyun.Credentials
```
通过 NuGet 程序包管理器安装。
1. 在解决方案资源管理器面板中右击您的项目选择管理 NuGet 程序包菜单。
2. 通过打开的NuGet 管理面板中点击浏览选项卡输入Aliyun.Credentials。
3. 下方列表中选择Authors为Alibaba Cloud由官方发布的包点击安装即可。

建议使用最新发布的Credentials工具版本。
请查看ChangeLog.txt获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端。您可通过设置Type指定类型。

使用默认凭据链

当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            // 不指定参数
            Config config = new Config();
            var akCredential = new Aliyun.Credentials.Client(config);
        }
    }
}

使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。

推荐使用最小化授权的RAM用户的AK。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "access_key",                    
                AccessKeyId = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID"),          
                AccessKeySecret = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET")   
            };
            var akCredential = new Aliyun.Credentials.Client(config);

            string accessKeyId = akCredential.GetAccessKeyId();
            string accessSecret = akCredential.GetAccessKeySecret();
            string credentialType = akCredential.GetType();
        }
    }
}

使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "sts",                          
                AccessKeyId = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID"),          
                AccessKeySecret = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET"),  
                SecurityToken = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_SECURITY_TOKEN")       
            };
            var stsCredential = new Aliyun.Credentials.Client(config);

            string accessKeyId = stsCredential.GetAccessKeyId();
            string accessSecret = stsCredential.GetAccessKeySecret();
            string credentialType = stsCredential.GetType();
            string securityToken = stsCredential.GetSecurityToken();
        }
    }

使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为Policy赋值来限制RAM角色到一个更小的权限集合。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "ram_role_arn",                  
                AccessKeyId = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID"),
                AccessKeySecret = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET"),
              	// 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole
                RoleArn = "<RoleArn>",  
              	// 角色会话名称
                RoleSessionName = "<RoleSessionName>", 
              	// 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
                Policy="<Policy>"
            };
            var arnCredential = new Aliyun.Credentials.Client(config);

            string accessKeyId = arnCredential.GetAccessKeyId();
            string accessSecret = arnCredential.GetAccessKeySecret();
            string credentialType = arnCredential.GetType();
            string securityToken = arnCredential.GetSecurityToken();
        }
    }
}

使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "ecs_ram_role",
              	// 可选项，不填会自动获取，但是建议加上以减少请求次数
                RoleName = "<RoleName>"     
            };
            var ecsCredential = new Aliyun.Credentials.Client(config);

            string accessKeyId = ecsCredential.GetAccessKeyId();
            string accessSecret = ecsCredential.GetAccessKeySecret();
            string credentialType = ecsCredential.GetType();
            string securityToken = ecsCredential.GetSecurityToken();
        }
    }
}

使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "bearer",     
              	// 填入您的Bearer Token
                BearerToken = "<BearerToken>"      
            };
            var bearerCredential = new Aliyun.Credentials.Client(config);

            string bearerToken = bearerCredential.GetBearerToken();
            string credentialType = bearerCredential.GetType();
        }
    }
}

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接调用new Client(config)传入null，初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）不为空，Credentials工具会优先使用它们作为默认凭据。

2. 使用配置文件

若不存在优先级更高的凭据信息，Credentials工具优先在如下位置查找文件是否存在。

Linux系统：~/.alibabacloud/credentials

Windows系统：C:\Users\USER_NAME\.alibabacloud\credentials

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端，当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

[default]                          
type = access_key               
access_key_id = foo              
access_key_secret = bar

3. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。

推荐使用ECS实例RAM角色或者使用STS方式。
推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。
如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过Environment.GetEnvironmentVariable获取。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config = new Config()
            {
                Type = "access_key",                    
                AccessKeyId = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID"),          
                AccessKeySecret = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET")   
            };
            var akCredential = new Aliyun.Credentials.Client(config);

            string accessKeyId = akCredential.GetAccessKeyId();
            string accessSecret = akCredential.GetAccessKeySecret();
            string credentialType = akCredential.GetType();
        }
    }
}

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端，传入到不同的接口请求客户端。

using Aliyun.Credentials.Models;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
            Config config1 = new Config()
            {
                Type = "access_key",                    
                AccessKeyId = "AccessKeyId",          
                AccessKeySecret = "AccessKeySecret"   
            };
            var akCredential = new Aliyun.Credentials.Client(config1);

            Config config2 = new Config()
            {
               Type = "access_key",                    
                AccessKeyId = "AccessKeyId",          
                AccessKeySecret = "AccessKeySecret"   
            };
            var akCredential = new Aliyun.Credentials.Client(config2);
        }
    }
}

使用AuthUtils

当我们初始化凭据客户端采用配置文件记录凭据信息时，可以使用auth_util.client_type切换到不同的凭据配置上。

[default]
enable=true
type=access_key
access_key_id=<access_key_id>
access_key_secret=<access_key_secret>

[client1]
enable=true
type=sts
access_key_id=<access_key_id>
access_key_secret=<access_key_secret>
security_token=<security_token>

[client2]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>

示例代码如下。

using Aliyun.Credentials.Models;
using Aliyun.Credentials.Utils;

namespace credentials_demo
{
    class Program
    {
        static void Main(string[] args)
        {
						// 若不配置AuthUtils类clientType属性，则默认使用default。
            Config config = new Config();
 						// AuthUtils.ClientType = "client1";
						// Config config = new Config();
						// AuthUtils.ClientType = "client2";
						// Config config = new Config();
        }
    }
}