当您通过阿里云SDK调用OpenAPI进行资源操作时,必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能,使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证,AccessKey(AK),还是安全令牌服务(STS)令牌等,Credentials工具都能为您提供相应支持。此外,本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证,从而确保您对云资源的操作既有效率又具有高度安全性。
背景信息
凭据是指用户证明其身份的一组信息。用户在系统中进行登录时,需要提供正确的凭据才能验证身份。常见的凭据类型有:
阿里云主账号和RAM用户的永久凭据 AccessKey(简称AK)。一组由AccessKey ID和AccessKey Secret组成的密钥对。
阿里云RAM角色的STS临时访问Token,简称STS Token。它是可以自定义时效和访问权限的临时身份凭据,详情请参见什么是STS。
Bearer Token。它是一种身份验证和授权的令牌类型。
前提条件
安装Credentials工具
使用npm
下载安装。
npm install @alicloud/credentials
建议使用最新发布的Credentials工具版本。
初始化凭据客户端
Credentials工具支持多种方式初始化凭据客户端,您可根据实际情况选择合适的方式进行凭据客户端初始化。
重要 以下示例代码所使用语言是JavaScript。
方式一:使用默认凭据链
当您在初始化凭据客户端不传入任何参数时,Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。
const Credential = require('@alicloud/credentials');
// 不指定参数
const credentialClient = new Credential.default();
接口调用方法
通过默认凭据提供链自动创建访问凭证,并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用默认凭证初始化Credentials Client。
const credentialClient = new Credential.default();
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.cn-hangzhou.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime).then((result) => {
console.log(JSON.stringify(result.body));
});
}
main().catch(console.error);
方式二:使用AK
阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。
警告 阿里云主账号拥有资源的全部权限,AK一旦泄露,会给系统带来巨大风险,不建议使用。
推荐使用最小化授权的RAM用户的AK。
const Credential = require('@alicloud/credentials');
// 使用AK 初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'access_key',
// 设置为AccessKey ID值。
accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
// 设置为AccessKey Secret值。
accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET
})
const credentialClient = new Credential.default(credentialsConfig);
接口调用方法
通过Credentials工具读取AK,完成云产品OpenAPI接口的调用。
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用AK 初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'access_key',
// 设置为AccessKey ID值。
accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
// 设置为AccessKey Secret值。
accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.cn-hangzhou.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime).then((response)=>{
console.log(response.body.regions);
});
}
main().catch(console.error);
方式三:使用STS Token
以一个RAM用户的身份调用STS服务的AssumeRole接口,设置Token的最大过期时间,即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端(不包含如何获取到STS Token的过程)。
{
"RequestId": "EA7A3526-F7DB-54A5-8300-9B742CFAA5EA",
"AssumedRoleUser": {
"Arn": "acs:ram::125499367423****:role/STStokenTestRole/STSsessionName",
"AssumedRoleId": "35219123109646****:STSsessionName"
},
"Credentials": {
"SecurityToken": "exampleToken",
"AccessKeyId": "STS.exampleAccessKeyID",
"AccessKeySecret": "exampleAccessKeySecret",
"Expiration": "2023-03-26T05:26:06Z"
}
}
const Credential = require('@alicloud/credentials');
const credentialsConfig = new Credential.Config({
type: 'sts',
// <ALIBABA_CLOUD_ACCESS_KEY_ID>需替换为返回数据中获取的临时AccessKeyId。
accessKeyId: '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
// <ALIBABA_CLOUD_ACCESS_KEY_SECRET>需替换为返回数据中获取的临时AccessKeySecret。
accessKeySecret: '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
// <ALIBABA_CLOUD_SECURITY_TOKEN>需替换为返回数据中获取的临时SecurityToken。
securityToken: '<ALIBABA_CLOUD_SECURITY_TOKEN>',
})
const cred = new Credential.default(credentialsConfig);
接口调用方法
通过Credentials工具读取临时安全令牌(STS Token),完成云产品OpenAPI接口的调用。
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK和STS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const Sts20150401 = require('@alicloud/sts20150401');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 创建STS client,获取STS token
const stsConfig = new OpenApi.Config();
stsConfig.endpoint = 'sts.cn-hangzhou.aliyuncs.com';
stsConfig.accessKeyId = process.env.ALIBABA_CLOUD_ACCESS_KEY_ID;
stsConfig.accessKeySecret = process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET;
const stsClient = new Sts20150401.default(stsConfig);
const assumeRoleRequest = Sts20150401.AssumeRoleRequest;
// STS token有效时间
assumeRoleRequest.durationSeconds = 3600;
// 要扮演的RAM角色ARN
assumeRoleRequest.roleArn = "acs:ram::125499367423****:role/STStokenTestRole/STSsessionName";
// 角色会话名称
assumeRoleRequest.roleSessionName = "35219123109646****:STSsessionName";
// assumeRoleRequest.policy = "";
const assumeRoleResponsePromise = stsClient.assumeRole(assumeRoleRequest);
const assumeRoleResponseBodyCredentials = (await assumeRoleResponsePromise).body.credentials;
// 使用AK 初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'sts',
// <ALIBABA_CLOUD_ACCESS_KEY_ID>需替换为返回数据中获取的临时AccessKeyId。
accessKeyId: assumeRoleResponseBodyCredentials.accessKeyId,
// <ALIBABA_CLOUD_ACCESS_KEY_SECRET>需替换为返回数据中获取的临时AccessKeySecret。
accessKeySecret: assumeRoleResponseBodyCredentials.accessKeySecret,
// <ALIBABA_CLOUD_SECURITY_TOKEN>需替换为返回数据中获取的临时SecurityToken。
securityToken: assumeRoleResponseBodyCredentials.securityToken,
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.cn-hangzhou.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime).then((response) => {
console.log(response.body.regions);
});
}
main().catch(console.error);
方式四:使用AK及RamRoleArn
该方式底层实现是STS Token。通过指定RAM角色的ARN(Alibabacloud Resource Name),Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy
赋值来限制RAM角色到一个更小的权限集合。
const Credential = require('@alicloud/credentials');
const credentialsConfig = new Credential.Config({
type: 'ram_role_arn',
accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET,
// 要扮演的RAM角色ARN
roleArn: '<RoleArn>',
// 角色会话名称
roleSessionName: '<RoleSessionName>',
// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy: '<Policy>',
roleSessionExpiration: 3600,
})
const cred = new Credential.default(credentialsConfig);
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用RamRoleArn初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'ram_role_arn',
// 设置为AccessKey ID值。
accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
// 设置为AccessKey Secret值。
accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET,
// 要扮演的RAM角色ARN
roleArn: 'acs:ram::125499367423****:role/STStokenTestRole/STSsessionName',
// 角色会话名称
roleSessionName: '35219123109646****:STSsessionName',
// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
// policy: '<Policy>',
roleSessionExpiration: 3600,
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.cn-hangzhou.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
const response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
console.log((await response).body.regions);
}
main().catch(console.error);
方式五:使用ECS实例RAM角色
该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色,调用ECS的元数据服务(Meta Data Server)换取STS Token,完成凭据客户端初始化。ECI实例,容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。
const Credential = require('@alicloud/credentials');
const credentialsConfig = new Credential.Config({
type: 'ecs_ram_role',
// 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数
roleName: 'roleName',
})
const cred = new Credential.default(credentialsConfig);
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用RamRoleArn初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'ecs_ram_role',
// 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数
roleName: 'roleName',
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
const response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
console.log((await response).body.regions);
}
main().catch(console.error);
方式六:使用OIDCRoleArn
在容器服务 Kubernetes 版中设置了Worker节点RAM角色后,对应节点内的Pod中的应用也就可以像ECS上部署的应用一样,通过元数据服务(Meta Data Server)获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用(比如部署您的客户提交的应用,代码也没有对您开放),您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全,同时又能让这些不可信的应用安全地获取所需的 STS Token,实现应用级别的权限最小化,您可以使用RRSA(RAM Roles for Service Account)功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件,并将相关配置信息注入到环境变量中,Credentials工具通过获取环境变量的配置信息,调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。
注入的环境变量如下:
ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;
ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;
ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;
const Credential = require('@alicloud/credentials');
const credentialsConfig = new Credential.Config({
type: 'oidc_role_arn',
roleArn: 'ALIBABA_CLOUD_ROLE_ARN',
oidcProviderArn: 'ALIBABA_CLOUD_OIDC_PROVIDER_ARN',
oidcTokenFilePath: 'ALIBABA_CLOUD_OIDC_TOKEN_FILE',
// 角色会话名称
roleSessionName: 'roleSessionName',
// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy: '<Policy>',
// 设置session过期时间
roleSessionExpiration: 3600,
})
const credentialClient = new Credential.default(credentialsConfig);
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'oidc_role_arn',
roleArn: 'ALIBABA_CLOUD_ROLE_ARN',
oidcProviderArn: 'ALIBABA_CLOUD_OIDC_PROVIDER_ARN',
oidcTokenFilePath: 'ALIBABA_CLOUD_OIDC_TOKEN_FILE',
// 角色会话名称
roleSessionName: 'roleSessionName',
// 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy: '<Policy>',
// 设置session过期时间
roleSessionExpiration: 3600,
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
const response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
console.log((await response).body.regions);
}
main().catch(console.error);
方式七:使用URI凭据
该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token,完成凭据客户端初始化。
const Credential = require('@alicloud/credentials');
const config = new Credential.Config({
type: 'credentials_uri',
// 换取凭证的 URI,格式为http://local_or_remote_uri/
credentialsURI: '<local_or_remote_uri>'
});
const credentialClient = new Credential(config);
该地址必须满足如下条件:
响应 200 状态码
响应体为如下的结构
{
"Code": "Success",
"AccessKeySecret": "AccessKeySecret",
"AccessKeyId": "AccessKeyId",
"Expiration": "2021-09-26T03:46:38Z",
"SecurityToken": "SecurityToken"
}
接口调用方法
指定Credentials提供地址,实现通过本地或远程的URI来获取并自动更新Token,完成云产品接口的调用。
调用单个云产品的接口需要云产品依赖。本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用RamRoleArn初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'credentials_uri',
// 换取凭证的 URI,格式为http://local_or_remote_uri/
credentialsURI: '<local_or_remote_uri>'
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpointType = 'ecs.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
const response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
console.log((await response).body.regions);
}
main().catch(console.error);
方式八:使用Bearer Token
目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。
const Credential = require('@alicloud/credentials');
const config = new Credential.Config({
type: 'bearer',
// 填入您的Bearer Token
bearerToken: '<BearerToken>',
});
const credentialClient = new Credential(config);
接口调用方法
本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK。
const Ecs20140526 = require('@alicloud/ecs20140526');
const OpenApi = require('@alicloud/openapi-client');
const Util = require('@alicloud/tea-util');
const Credential = require('@alicloud/credentials');
async function main() {
// 使用RamRoleArn初始化Credentials Client。
const credentialsConfig = new Credential.Config({
// 凭证类型。
type: 'bearer',
// 填入您的Bearer Token
bearerToken: '<BearerToken>',
})
const credentialClient = new Credential.default(credentialsConfig);
const ecsConfig = new OpenApi.Config();
// 配置云产品服务接入地址(endpoint)。
ecsConfig.endpointType = 'ecs.aliyuncs.com';
// 使用Credentials配置凭证。
ecsConfig.credential = credentialClient;
// 初始化ECS Client
const ecsClient = new Ecs20140526.default(ecsConfig);
// 初始化DescribeRegions请求。
const describeRegionsRequest = new Ecs20140526.DescribeRegionsRequest();
// 初始化运行时配置。
const runtime = new Util.RuntimeOptions();
// 调用DescribeRegions接口并获得响应。
const response = ecsClient.describeRegionsWithOptions(describeRegionsRequest, runtime);
console.log((await response).body.regions);
}
main().catch(console.error);
默认凭据链
当您的程序开发环境和生产环境采用不同的凭据类型,常见做法是在代码中获取当前环境信息,编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链,您可以用同一套代码,通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下,直接使用new Credential()
初始化凭据客户端时,阿里云SDK将会尝试按照如下顺序查找相关凭据信息。
1. 使用环境变量
Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID(密钥Key) 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET(密钥Value) 不为空,Credentials工具会优先使用它们作为默认凭据。
2. 使用OIDC RAM角色
若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取如下内容:
ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;
ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;
ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;
若以上三个环境变量都有设置内容,Credentials工具将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。
3. 使用配置文件
若不存在优先级更高的凭据信息,Credentials工具优先在如下位置查找文件是否存在。
Linux系统:~/.alibabacloud/credentials
Windows系统:C:\Users\USER_NAME\.alibabacloud\credentials
您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在,程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端,当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。
[default]
type = access_key
access_key_id = foo
access_key_secret = bar
4. 使用ECS实例RAM角色
若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA(ECS实例RAM角色名称),若存在,程序将会通过ECS的元数据服务(Meta Data Server)获取ECS实例RAM角色的STS Token作为默认凭据信息。
5. 使用Credentials工具 URI
若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取ALIBABA_CLOUD_CREDENTIALS_URI,若存在,程序会将该环境变量的值作为Credentials工具 URI地址,在调用时,获取临时安全凭证。
如何保护凭据信息
凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题,您可通过如下方案避免在代码中暴露明文凭据信息,降低凭据泄露的风险。
推荐使用ECS实例RAM角色或者使用STS方式。
推荐使用默认凭据链,使用环境变量或者配置文件记录凭据信息。
如使用显示初始化方案初始化凭据客户端,推荐使用系统属性及环境变量记录凭据信息,通过process.env
对象获取。
import Credential, { Config } from '@alicloud/credentials';
const config: Config = {
type: 'access_key',
accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET,
}
const cred = new Credential(config);
let accessKeyId: string = await cred.getAccessKeyId();
let accessKeySecret: string = await cred.getAccessKeySecret();
let type: string = cred.getType();
如何切换凭据
当您想要在程序中使用不同的访问凭据调用不同OpenAPI时,可以通过如下方式。
使用多个凭据客户端
通过初始化多个凭据客户端,传入到不同的接口请求客户端。
import Credential, { Config } from '@alicloud/credentials';
import * as process from 'process';
const config1: Config = {
type: 'access_key',
accessKeyId: '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
accessKeySecret: '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
}
const cred1 = new Credential(config1);
const config2: Config = {
type: 'access_key',
accessKeyId: '<ALIBABA_CLOUD_ACCESS_KEY_ID>',
accessKeySecret: '<ALIBABA_CLOUD_ACCESS_KEY_SECRET>',
}
const cred = new Credential(config2);