文档

管理访问凭证

更新时间:
一键部署
重要

本文中含有需要您注意的重要提示信息,忽略该信息可能对您的业务造成影响,请务必仔细阅读。

当您通过阿里云SDK调用OpenAPI进行资源操作时,必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能,使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证,AccessKey(AK),还是安全令牌服务(STS)令牌等,Credentials工具都能为您提供相应支持。此外,本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证,从而确保您对云资源的操作既有效率又具有高度安全性。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时,需要提供正确的凭据才能验证身份。常见的凭据类型有:

  1. 阿里云主账号和RAM用户的永久凭据 AccessKey(简称AK)。一组由AccessKey ID和AccessKey Secret组成的密钥对。

  2. 阿里云RAM角色的STS临时访问Token,简称STS Token。它是可以自定义时效和访问权限的临时身份凭据,详情请参见什么是STS

  3. Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

  • 使用Credentials工具要求Go版本 >= 1.10.x。

  • 使用V2.0版本的阿里云SDK。

  • 自建网关类产品的自研SDK无法使用。

安装Credentials工具

  • 使用go get下载安装。

$ go get -u github.com/aliyun/credentials-go
  • 如果您使用dep来管理的依赖包,您可以使用以下命令。

$ dep ensure -add github.com/aliyun/credentials-go

建议使用最新发布的Credentials工具版本。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端,您可根据实际情况选择合适的方式进行凭据客户端初始化。

方式一:使用默认凭据链

当您在初始化凭据客户端不传入任何参数时,Credentials会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链

import (
	"fmt"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	// 不指定参数
	config := new(credentials.Config)
	credential, err := credentials.NewCredential(config)
}

接口调用方法

通过默认凭据提供链自动创建访问凭证,并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
    util "github.com/alibabacloud-go/tea-utils/v2/service"
    "github.com/alibabacloud-go/tea/tea"
    "github.com/aliyun/credentials-go/credentials"
)

func main() {
    // 使用默认凭证初始化Credentials Client。
    credentialClient, _err := credentials.NewCredential(nil)
    if _err != nil {
       panic(_err)
    }

    ecsConfig := &openapi.Config{}
    // 配置云产品服务接入地址(endpoint)。
    ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
    // 使用Credentials配置凭证。
    ecsConfig.Credential = credentialClient
    // 初始化ECS Client。
    ecsClient, _err := ecs20140526.NewClient(ecsConfig)
    // 初始化DescribeRegions请求。
    describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
    // 初始化运行时配置。
    runtime := &util.RuntimeOptions{}
    // 调用DescribeRegions接口并获得响应。
    response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
    if _err != nil {
       panic(_err)
    }
    panic(response.Body.String())
}

方式二:使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限,AK一旦泄露,会给系统带来巨大风险,不建议使用。

推荐使用最小化授权的RAM用户的AK。

import (
	"fmt"
	"os"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config := new(credentials.Config).
	SetType("access_key").
	SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"))

	akCredential, err := credentials.NewCredential(config)
	if err != nil {
	    return
	}
	accessKeyId, err := akCredential.GetAccessKeyId()
	accessSecret, err := akCredential.GetAccessKeySecret()
	credentialType := akCredential.GetType()
	fmt.Println(accessKeyId, accessSecret, credentialType)
}

接口调用方法

通过Credentials工具读取AK,完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
    util "github.com/alibabacloud-go/tea-utils/v2/service"
    "github.com/alibabacloud-go/tea/tea"
    "github.com/aliyun/credentials-go/credentials"
    "os"
)

func main() {
    // 使用AK 初始化Credentials Client。
    credentialsConfig := new(credentials.Config).
       // 凭证类型。
       SetType("access_key").
       // 设置为AccessKey ID值。
       SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
       // 设置为AccessKey Secret值。
       SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"))
    credentialClient, _err := credentials.NewCredential(credentialsConfig)
    if _err != nil {
       panic(_err)
    }

    ecsConfig := &openapi.Config{}
    // 配置云产品服务接入地址(endpoint)。
    ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
    // 使用Credentials配置凭证。
    ecsConfig.Credential = credentialClient
    // 初始化ECS Client。
    ecsClient, _err := ecs20140526.NewClient(ecsConfig)
    // 初始化DescribeRegions请求。
    describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
    // 初始化运行时配置。
    runtime := &util.RuntimeOptions{}
    // 调用DescribeRegions接口并获得响应。
    response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
    if _err != nil {
       panic(_err)
    }
    panic(response.Body.String())
}

方式三:使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口,设置Token的最大过期时间,即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端(不包含如何获取到STS Token的过程)。

{
  "RequestId": "EA7A3526-F7DB-54A5-8300-9B742CFAA5EA",
  "AssumedRoleUser": {
    "Arn": "acs:ram::125499367423****:role/STStokenTestRole/STSsessionName",
    "AssumedRoleId": "35219123109646****:STSsessionName"
  },
  "Credentials": {
    "SecurityToken": "exampleToken",
    "AccessKeyId": "STS.exampleAccessKeyID",
    "AccessKeySecret": "exampleAccessKeySecret",
    "Expiration": "2023-03-26T05:26:06Z"
  }
}
import (
	"fmt"
	"os"
	"github.com/aliyun/credentials-go/credentials"
)

func main() {
	config := new(credentials.Config).
	SetType("sts").
        // <ALIBABA_CLOUD_ACCESS_KEY_ID>需替换为返回数据中获取的临时AccessKeyId。
	SetAccessKeyId("<ALIBABA_CLOUD_ACCESS_KEY_ID>").
        // <ALIBABA_CLOUD_ACCESS_KEY_SECRET>需替换为返回数据中获取的临时AccessKeySecret。
	SetAccessKeySecret("<ALIBABA_CLOUD_ACCESS_KEY_SECRET>").
        // <ALIBABA_CLOUD_SECURITY_TOKEN>需替换为返回数据中获取的临时SecurityToken。
	SetSecurityToken("<ALIBABA_CLOUD_SECURITY_TOKEN>")

	stsCredential, err := credentials.NewCredential(config)
	if err != nil {
		return
	}
	accessKeyId, err := stsCredential.GetAccessKeyId()
	accessSecret, err := stsCredential.GetAccessKeySecret()
	securityToken, err := stsCredential.GetSecurityToken()
	credentialType := stsCredential.GetType()
	fmt.Println(accessKeyId, accessSecret, securityToken, credentialType)
}

接口调用方法

通过Credentials工具读取临时安全令牌(STS Token),完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDKSTS SDK

package main

import (
    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
    sts20150401 "github.com/alibabacloud-go/sts-20150401/v2/client"
    util "github.com/alibabacloud-go/tea-utils/v2/service"
    "github.com/alibabacloud-go/tea/tea"
    "github.com/aliyun/credentials-go/credentials"
    "os"
)

func main() {
    // 创建STS client,调用AssumeRole获取STS TOKEN
    stsConfig := &openapi.Config{}
    stsConfig.SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"))
    stsConfig.SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"))
    stsConfig.SetEndpoint("sts.cn-hangzhou.aliyuncs.com")
    client, _err := sts20150401.NewClient(stsConfig)
    if _err != nil {
       panic(_err)
       return
    }
    assumeRoleRequest := &sts20150401.AssumeRoleRequest{}
    assumeRoleRequest.SetRoleArn("acs:ram::125499367423****:role/STStokenTestRole/STSsessionName")
    assumeRoleRequest.SetRoleSessionName("35219123109646****:STSsessionName")
    assumeRoleRequest.SetDurationSeconds(3600)
    result, _err := client.AssumeRole(assumeRoleRequest)
    if _err != nil {
       panic(_err)
       return
    }
    assumeRoleResponseBodyCredentials := result.Body.Credentials

    // 使用AK 初始化Credentials Client。
    credentialsConfig := new(credentials.Config).
       // 凭证类型。
       SetType("sts").
       SetAccessKeyId(*assumeRoleResponseBodyCredentials.AccessKeyId).
       SetAccessKeySecret(*assumeRoleResponseBodyCredentials.AccessKeySecret).
       SetSecurityToken(*assumeRoleResponseBodyCredentials.SecurityToken)

    credentialClient, _err := credentials.NewCredential(credentialsConfig)
    if _err != nil {
       panic(_err)
       return
    }


    ecsConfig := &openapi.Config{}
    // 配置云产品服务接入地址(endpoint)。
    ecsConfig.Endpoint = tea.String("ecs.cn-hangzhou.aliyuncs.com")
    // 使用Credentials配置凭证。
    ecsConfig.Credential = credentialClient
    // 初始化ECS Client。
    ecsClient, _err := ecs20140526.NewClient(ecsConfig)
    // 初始化DescribeRegions请求。
    describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
    // 初始化运行时配置。
    runtime := &util.RuntimeOptions{}
    // 调用DescribeRegions接口并获得响应。
    response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
    if _err != nil {
       panic(_err)
    }
    panic(response.Body.String())
}

方式四:使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN(Alibabacloud Resource Name),Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为SetPolicy赋值来限制RAM角色到一个更小的权限集合。

import (
	"fmt"
	"os"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config := new(credentials.Config).
	SetType("ram_role_arn").
	SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
	// 要扮演的RAM角色ARN,示例值:acs:ram::123456789012****:role/adminrole
	SetRoleArn("<RoleArn>").
	// 角色会话名称
	SetRoleSessionName("<RoleSessionName>").
	// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
	SetPolicy("<Policy>").
	SetRoleSessionExpiration(3600)

	arnCredential, err := credentials.NewCredential(config)
	if err != nil {
		return
	}
	accessKeyId, err := arnCredential.GetAccessKeyId()
	accessSecret, err := arnCredential.GetAccessKeySecret()
	securityToken, err := arnCredential.GetSecurityToken()
	credentialType := arnCredential.GetType()
	fmt.Println(accessKeyId, accessSecret, securityToken, credentialType)
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
	openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
	ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
	util "github.com/alibabacloud-go/tea-utils/v2/service"
	"github.com/alibabacloud-go/tea/tea"
	"github.com/aliyun/credentials-go/credentials"
	"os"
)

func main() {
	// 使用AK 初始化Credentials Client。
	credentialsConfig := new(credentials.Config).
		// 凭证类型。
		SetType("ram_role_arn").
		// 设置为AccessKey ID值。
		SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
		// 设置为AccessKey Secret值。
		SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
		// 要扮演的RAM角色ARN,示例值:acs:ram::123456789012****:role/adminrole
		SetRoleArn("<RoleArn>").
		// 角色会话名称
		SetRoleSessionName("<RoleSessionName>").
		// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
		SetPolicy("<Policy>").
		SetRoleSessionExpiration(3600)
	credentialClient, _err := credentials.NewCredential(credentialsConfig)
	if _err != nil {
		panic(_err)
	}

	ecsConfig := &openapi.Config{}
	// 配置云产品服务接入地址(endpoint)。
	ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
	// 使用Credentials配置凭证。
	ecsConfig.Credential = credentialClient
	// 初始化ECS Client。
	ecsClient, _err := ecs20140526.NewClient(ecsConfig)
	// 初始化DescribeRegions请求。
	describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
	// 初始化运行时配置。
	runtime := &util.RuntimeOptions{}
	// 调用DescribeRegions接口并获得响应。
	response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
	if _err != nil {
		panic(_err)
	}
	panic(response.Body.String())
}

方式五:使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色,调用ECS的元数据服务(Meta Data Server)换取STS Token,完成凭据客户端初始化。ECI实例,容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

import (
	"fmt"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config := new(credentials.Config).
	SetType("ecs_ram_role").
	// 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数
	SetRoleName("<RoleName>")

	ecsCredential, err := credentials.NewCredential(config)
	if err != nil {
		return
	}
	accessKeyId, err := ecsCredential.GetAccessKeyId()
	accessSecret, err := ecsCredential.GetAccessKeySecret()
	securityToken, err := ecsCredential.GetSecurityToken()
	credentialType := ecsCredential.GetType()
	fmt.Println(accessKeyId, accessSecret, securityToken, credentialType)
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
	openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
	ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
	util "github.com/alibabacloud-go/tea-utils/v2/service"
	"github.com/alibabacloud-go/tea/tea"
	credentials "github.com/aliyun/credentials-go/credentials"
)

func _main(args []*string) {
	// 使用AK 初始化Credentials Client。
	credentialsConfig := new(credentials.Config).
		// 凭证类型。
		SetType("ecs_ram_role").
		// 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数
		SetRoleName("<RoleName>")
	credentialClient, _err := credentials.NewCredential(credentialsConfig)
	if _err != nil {
		panic(_err)
	}

	ecsConfig := &openapi.Config{}
	// 配置云产品服务接入地址(endpoint)。
	ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
	// 使用Credentials配置凭证。
	ecsConfig.Credential = credentialClient
	// 初始化ECS Client。
	ecsClient, _err := ecs20140526.NewClient(ecsConfig)
	// 初始化DescribeRegions请求。
	describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
	// 初始化运行时配置。
	runtime := &util.RuntimeOptions{}
	// 调用DescribeRegions接口并获得响应。
	response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
	if _err != nil {
		panic(_err)
	}
	panic(response.Body.String())
}

方式六:使用OIDCRoleArn

容器服务 Kubernetes 版中设置了Worker节点RAM角色后,对应节点内的Pod中的应用也就可以像ECS上部署的应用一样,通过元数据服务(Meta Data Server)获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用(比如部署您的客户提交的应用,代码也没有对您开放),您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全,同时又能让这些不可信的应用安全地获取所需的 STS Token,实现应用级别的权限最小化,您可以使用RRSA(RAM Roles for Service Account)功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件,并将相关配置信息注入到环境变量中,Credentials工具通过获取环境变量的配置信息,调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离

注入的环境变量如下:

ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;

ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;

ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;

package main

import (
	"fmt"
	"net/http"
	"os"
	"github.com/aliyun/credentials-go/credentials"
)

func main() {
	config := new(credentials.Config).
	SetType("oidc_role_arn").
	SetOIDCProviderArn(os.Getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN")).
	SetOIDCTokenFilePath(os.Getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE")).
	// 角色会话名称
	SetRoleSessionName("<RoleSessionName>").
	// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
	SetPolicy("<Policy>").
	SetRoleArn("ALIBABA_CLOUD_ROLE_ARN").
	// 设置session过期时间
	SetSessionExpiration(3600)
	oidcCredential, err := credentials.NewCredential(config)
	if err != nil {
		return
	}
	accessKeyId, err := oidcCredential.GetAccessKeyId()
	accessKeySecret, err := oidcCredential.GetAccessKeySecret()
	token, err := oidcCredential.GetSecurityToken()
	fmt.Println(accessKeyId, accessKeySecret, token)
}

接口调用方法

指定Credentials提供地址,实现通过本地或远程的URI来获取并自动更新Token,完成云产品接口的调用。

调用单个云产品的接口需要云产品依赖。本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
	openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
	ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
	util "github.com/alibabacloud-go/tea-utils/v2/service"
	"github.com/alibabacloud-go/tea/tea"
	credentials "github.com/aliyun/credentials-go/credentials"
	"os"
)

func _main(args []*string) {
	// 使用AK 初始化Credentials Client。
	credentialsConfig := new(credentials.Config).
		// 凭证类型。
		SetType("oidc_role_arn").
		SetOIDCProviderArn(os.Getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN")).
		SetOIDCTokenFilePath(os.Getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE")).
		// 角色会话名称
		SetRoleSessionName("<RoleSessionName>").
		// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
		SetPolicy("<Policy>").
		SetRoleArn("ALIBABA_CLOUD_ROLE_ARN").
		// 设置session过期时间
		SetSessionExpiration(3600)
	credentialClient, _err := credentials.NewCredential(credentialsConfig)
	if _err != nil {
		panic(_err)
	}

	ecsConfig := &openapi.Config{}
	// 配置云产品服务接入地址(endpoint)。
	ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
	// 使用Credentials配置凭证。
	ecsConfig.Credential = credentialClient
	// 初始化ECS Client。
	ecsClient, _err := ecs20140526.NewClient(ecsConfig)
	// 初始化DescribeRegions请求。
	describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
	// 初始化运行时配置。
	runtime := &util.RuntimeOptions{}
	// 调用DescribeRegions接口并获得响应。
	response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
	if _err != nil {
		panic(_err)
	}
	panic(response.Body.String())
}

方式七:使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

import (
	"fmt"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config := new(credentials.Config).
	SetType("bearer").
	// 填入您的Bearer Token
	SetBearerToken("<BearerToken>")
  bearerCredential, err := credentials.NewCredential(config)
  if err != nil {
		return
	}
	bearerToken := bearerCredential.GetBearerToken()
	credentialType := bearerCredential.GetType()
	fmt.Println(bearerToken, credentialType)
}

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

package main

import (
	openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
	ecs20140526 "github.com/alibabacloud-go/ecs-20140526/v4/client"
	util "github.com/alibabacloud-go/tea-utils/v2/service"
	"github.com/alibabacloud-go/tea/tea"
	credentials "github.com/aliyun/credentials-go/credentials"
)

func _main(args []*string) {
	// 使用AK 初始化Credentials Client。
	credentialsConfig := new(credentials.Config).
		// 凭证类型。
		SetType("bearer").
		SetBearerToken("<BearerToken>")
	credentialClient, _err := credentials.NewCredential(credentialsConfig)
	if _err != nil {
		panic(_err)
	}

	ecsConfig := &openapi.Config{}
	// 配置云产品服务接入地址(endpoint)。
	ecsConfig.Endpoint = tea.String("ecs.cn-beijing.aliyuncs.com")
	// 使用Credentials配置凭证。
	ecsConfig.Credential = credentialClient
	// 初始化ECS Client。
	ecsClient, _err := ecs20140526.NewClient(ecsConfig)
	// 初始化DescribeRegions请求。
	describeInstancesRequest := &ecs20140526.DescribeRegionsRequest{}
	// 初始化运行时配置。
	runtime := &util.RuntimeOptions{}
	// 调用DescribeRegions接口并获得响应。
	response, _err := ecsClient.DescribeRegionsWithOptions(describeInstancesRequest, runtime)
	if _err != nil {
		panic(_err)
	}
	panic(response.Body.String())
}

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型,常见做法是在代码中获取当前环境信息,编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链,您可以用同一套代码,通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下,直接使用NewCredential()初始化凭据客户端时,阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID(密钥Key) ALIBABA_CLOUD_ACCESS_KEY_SECRET(密钥Value) 不为空,Credentials工具会优先使用它们作为默认凭据。

2. 使用OIDC RAM角色

若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取如下内容:

ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;

ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;

ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;

若以上三个环境变量都有设置内容,Credentials工具将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。

3. 使用配置文件

若不存在优先级更高的凭据信息,Credentials工具优先在如下位置查找文件是否存在。

Linux系统:~/.alibabacloud/credentials

Windows系统:C:\Users\USER_NAME\.alibabacloud\credentials

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在,程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端,当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

配置示例信息如下:

[default]                         
type = access_key                  
access_key_id = foo              
access_key_secret = bar           

4. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA(ECS实例RAM角色名称),若存在,程序将会通过ECS的元数据服务(Meta Data Server)获取ECS实例RAM角色的STS Token作为默认凭据信息。

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题,您可通过如下方案避免在代码中暴露明文凭据信息,降低凭据泄露的风险。

  1. 推荐使用ECS实例RAM角色或者使用STS方式。

  2. 推荐使用默认凭据链,使用环境变量或者配置文件记录凭据信息。

  3. 如使用显示初始化方案初始化凭据客户端,推荐使用系统属性及环境变量记录凭据信息,通过os.Getenv获取。

import (
	"fmt"
	"os"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config := new(credentials.Config).
	SetType("access_key").
	SetAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	SetAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"))

	akCredential, err := credentials.NewCredential(config)
	if err != nil {
		return
	}
	accessKeyId, err := akCredential.GetAccessKeyId()
	accessSecret, err := akCredential.GetAccessKeySecret()
	credentialType := akCredential.GetType()
	fmt.Println(accessKeyId, accessSecret, credentialType)
}

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时,可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端,传入到不同的接口请求客户端。

import (
	"fmt"
	"github.com/aliyun/credentials-go/credentials"
)

func main(){
	config1 := new(credentials.Config).
	SetType("access_key").
	SetAccessKeyId("<ALIBABA_CLOUD_ACCESS_KEY_ID>").
	SetAccessKeySecret("<ALIBABA_CLOUD_ACCESS_KEY_SECRET>")

	akCredential, err1 := credentials.NewCredential(config1)

	config2 := new(credentials.Config).
	SetType("access_key").
	SetAccessKeyId("<ALIBABA_CLOUD_ACCESS_KEY_ID>").
	SetAccessKeySecret("<ALIBABA_CLOUD_ACCESS_KEY_SECRET>")

	akCredential, err2 := credentials.NewCredential(config2)
}

相关文档

  • 本页导读 (1)