管理访问凭据

更新时间:
重要

本文中含有需要您注意的重要提示信息,忽略该信息可能对您的业务造成影响,请务必仔细阅读。

当您通过阿里云SDK调用OpenAPI进行资源操作时,必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能,使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证,AccessKey(AK),还是安全令牌服务(STS)令牌等,Credentials工具都能为您提供相应支持。此外,本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证,从而确保您对云资源的操作既有效率又具有高度安全性。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时,需要提供正确的凭据才能验证身份。常见的凭据类型有:

  1. 阿里云主账号和RAM用户的永久凭据 AccessKey(简称AK)是由AccessKey ID和AccessKey Secret组成的密钥对。

  2. 阿里云RAM角色的STS临时访问Token,简称STS Token。它是可以自定义时效和访问权限的临时身份凭据,详情请参见什么是STS

  3. Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

  • 使用Credentials工具要求Python版本 >= 3.7。

  • 使用V2.0代系的阿里云SDK。

安装Credentials工具

使用pip安装(推荐),如未安装pip,请先安装pip。更多信息,请参见pip官网pip user guide

pip install alibabacloud_credentials
  1. 使用最新发布Credentials依赖包,确保所有凭证支持。

  2. 请查看ChangeLog.txt获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端,您可根据实际情况选择合适的方式进行凭据客户端初始化。

重要

在项目中使用明文AccessKey,容易因代码仓库权限管理不当造成AccessKey泄露,会威胁该账号下所有资源的安全。建议通过环境变量、配置文件等方式获取AccessKey。

方式一:使用默认凭据链

当您在初始化凭据客户端不传入任何参数时,Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_tea_rpc.models import Config

# 不指定参数
credentialsClient = CredClient()
config = Config(credential=credentialsClient)

接口调用方法

通过默认凭据提供链自动创建访问凭证,并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

# Credentials和云产品SDK都需引入Client,此处为创建别名。
from alibabacloud_credentials.client import Client as CredClient
# 引入阿里云ECS SDK,此处以ECS产品为例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions接口发起调用请求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# 引入阿里云SDK核心包。
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用默认凭证初始化Credentials Client。
credentialsClient = CredClient()
ecsConfig = Config(credential=credentialsClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式二:使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限,AK一旦泄露,会给系统带来巨大风险,不建议使用。

推荐使用最小化授权的RAM用户的AK。

import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='access_key',
	access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
	access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred = Client(config)

接口调用方法

通过Credentials工具读取AK,完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

import os
# Credentials和云产品SDK都需引入Client,此处为创建别名。
from alibabacloud_credentials.client import Client as CredClient
# 引入阿里云ECS SDK,此处以ECS产品为例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions接口发起调用请求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# Credentials和云产品SDK都需引入Config
from alibabacloud_tea_openapi.models import Config
from alibabacloud_credentials.models import Config as CreConfig
from alibabacloud_tea_util.models import RuntimeOptions

# 使用AK 初始化Credentials Client。
credentialsConfig = CreConfig(
    # 凭证类型。
    type='access_key',
    # 设置为AccessKey ID值。
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    # 设置为AccessKey Secret值。
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
credentialClient = CredClient(credentialsConfig)

ecsConfig = Config(credential=credentialClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 初始化ECS Client。
ecsClient = EcsClient(ecsConfig)

# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式三:使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口,设置Token的最大过期时间,即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端(不包含如何获取到STS Token的过程)。

import os

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
    type='sts',
    # 从环境变量中获取AccessKey ID的值
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    # 从环境变量中获取AccessKeySecret的值
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
    # 从环境变量中获取临时SecurityToken的值
    security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN')
)
credClient = Client(config)

接口调用方法

通过Credentials工具读取临时安全令牌(STS Token),完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDKSTS SDK

import os

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CreConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_sts20150401.client import Client as Sts20150401Client
from alibabacloud_sts20150401.models import AssumeRoleRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 从环境变量中获取RAM用户ak
config = Config(
    access_key_id=os.environ['ALIBABA_CLOUD_ACCESS_KEY_ID'],
    access_key_secret=os.environ['ALIBABA_CLOUD_ACCESS_KEY_SECRET']
)
config.endpoint = "sts.aliyuncs.com"
stsClient = Sts20150401Client(config)

# 调AssumeRole API的参数
assume_role_request = AssumeRoleRequest(
    # 会话有效时间
    duration_seconds=3600,
    # 要扮演的RAM角色ARN,示例值:acs:ram::123456789012****:role/adminrole,可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
    role_arn='<role_arn>',
    # 角色会话名称,可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
    role_session_name='<role_session_name>'
)
runtime = RuntimeOptions()
try:
    resp = stsClient.assume_role_with_options(assume_role_request, runtime)
    assumeRoleResponseBodyCredentials = resp.body.credentials

    # 使用STS Token初始化Credentials Client。
    credentialsConfig = CreConfig(
        # 凭证类型。
        type='sts',
        # 设置为AccessKey ID值。
        access_key_id=assumeRoleResponseBodyCredentials.access_key_id,
        # 设置为AccessKey Secret值。
        access_key_secret=assumeRoleResponseBodyCredentials.access_key_secret,
        # 设置为STS Token值。
        security_token=assumeRoleResponseBodyCredentials.security_token
    )
    credentialClient = CredClient(credentialsConfig)
    ecsConfig = Config(credential=credentialClient)
    # 配置云产品服务接入地址(endpoint)。
    ecsConfig.endpoint = 'ecs.aliyuncs.com'
    # 初始化ECS Client。
    ecsClient = EcsClient(ecsConfig)

    # 初始化DescribeRegions请求。
    request = DescribeRegionsRequest()
    # 初始化运行时配置。
    runtime_options = RuntimeOptions()
    # 调用DescribeRegions接口并获得响应。
    response = ecsClient.describe_regions_with_options(request, runtime_options)
    print(response.to_map())
except Exception as error:
    # 错误 message
    print(error.message)

方式四:使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN(Alibabacloud Resource Name),Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。

import os

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig

credentialsConfig = CredConfig(
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
    type='ram_role_arn',
    # 要扮演的RAM角色ARN,示例值:acs:ram::123456789012****:role/adminrole,可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
    role_arn='<role_arn>',
    # 角色会话名称,可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
    role_session_name='<role_session_name>',
    # 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    policy='<policy>',
    role_session_expiration=3600
)
credentialsClient = CredClient(credentialsConfig)

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

import os

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.client import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用RamRoleArn初始化Credentials Client。
credentialsConfig = CredConfig(
    type='ram_role_arn',  # 凭证类型。
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),  # 从环境变量中获取AccessKey ID。
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),  # 从环境变量中获取AccessKey Secret。
    # 要扮演的RAM角色ARN,示例值:acs:ram::123456789012****:role/adminrole,可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
    role_arn='<role_arn>',
    # 角色会话名称,可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
    role_session_name='<role_session_name>',
    # 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    policy='<policy>',
    role_session_expiration=3600  # 会话有效时间
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式五:使用ECS实例RAM角色

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色,调用ECS的元数据服务(Meta Data Server)换取STS Token,完成凭据客户端初始化。ECI实例,容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig

credentialsConfig = CredConfig(
	type='ecs_ram_role',
	# 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数,可以通过环境变量ALIBABA_CLOUD_ECS_METADATA设置role_name
	role_name='<role_name>'
)
credentialsClient = CredClient(credentialsConfig)

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

# Credentials和云产品SDK都需引入Client,此处为创建别名。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.client import Config as CredConfig
# 引入阿里云ECS SDK,此处以ECS产品为例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions接口发起调用请求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# 引入阿里云SDK核心包。
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用EcsRamRole初始化Credentials Client。
credentialsConfig = CredConfig(
    type='ecs_ram_role',  # 凭证类型。
    # 选填,该ECS角色的角色名称,不填会自动获取,但是建议加上以减少请求次数,可以通过环境变量ALIBABA_CLOUD_ECS_METADATA设置role_name
    role_name='<role_name>'
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)

# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式六:使用OIDCRoleArn

容器服务 Kubernetes 版中设置了Worker节点RAM角色后,对应节点内的Pod中的应用也就可以像ECS上部署的应用一样,通过元数据服务(Meta Data Server)获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用(比如部署您的客户提交的应用,代码也没有对您开放),您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全,同时又能让这些不可信的应用安全地获取所需的 STS Token,实现应用级别的权限最小化,您可以使用RRSA(RAM Roles for Service Account)功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件,并将相关配置信息注入到环境变量中,Credentials工具通过获取环境变量的配置信息,调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离

注入的环境变量如下:

ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;

ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;

ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
    type='oidc_role_arn',
    # RAM角色名称ARN,可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
    role_arn='<role_arn>',
    # OIDC提供商ARN,可以通过环境变量ALIBABA_CLOUD_OIDC_PROVIDER_ARN设置oidc_provider_arn
    oidc_provider_arn='<oidc_provider_arn>',
    # OIDC Token文件路径,可以通过环境变量ALIBABA_CLOUD_OIDC_TOKEN_FILE设置oidc_token_file_path
    oidc_token_file_path='<oidc_token_file_path>',
    # 角色会话名称,可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
    role_session_name='<role_session_name>',
    # 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    policy='<policy>',
    # 设置session过期时间
    role_session_expiration=3600
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.client import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用OIDCRoleArn初始化Credentials Client。
credentialsConfig = CredConfig(
    type='oidc_role_arn',
    # RAM角色名称ARN,可以通过环境变量ALIBABA_CLOUD_ROLE_ARN设置role_arn
    role_arn='<role_arn>',
    # OIDC提供商ARN,可以通过环境变量ALIBABA_CLOUD_OIDC_PROVIDER_ARN设置oidc_provider_arn
    oidc_provider_arn='<oidc_provider_arn>',
    # OIDC Token文件路径,可以通过环境变量ALIBABA_CLOUD_OIDC_TOKEN_FILE设置oidc_token_file_path
    oidc_token_file_path='<oidc_token_file_path>',
    # 角色会话名称,可以通过环境变量ALIBABA_CLOUD_ROLE_SESSION_NAME设置role_session_name
    role_session_name='<role_session_name>',
    # 设置更小的权限策略,非必填。示例值:{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
    policy='<policy>',
    # 设置session过期时间
    role_session_expiration=3600
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)

# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式七:使用URI凭据

该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token,完成凭据客户端初始化。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
    type='credentials_uri',
    # 凭证的 URI,格式为http://local_or_remote_uri/,可以通过环境变量ALIBABA_CLOUD_CREDENTIALS_URI设置credentials_uri
    credentials_uri='<credentials_uri>',
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

接口调用方法

指定Credentials提供地址,实现通过本地或远程的URI来获取并自动更新Token,完成云产品接口的调用。

调用单个云产品的接口需要云产品依赖。本示例以调用云服务器ECS的DescribeRegions接口为例,因此需先安装ECS SDK

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.client import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用URI凭据初始化Credentials Client。
credentialsConfig = CredConfig(
    # 凭证类型。
    type='credentials_uri',
    # 凭证的 URI,格式为http://local_or_remote_uri/,可以通过环境变量ALIBABA_CLOUD_CREDENTIALS_URI设置credentials_uri
    credentials_uri='<credentials_uri>',
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置云产品服务接入地址(endpoint)。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)

# 初始化DescribeRegions请求。
request = DescribeRegionsRequest()
# 初始化运行时配置。
runtime_options = RuntimeOptions()
# 调用DescribeRegions接口并获得响应。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())

方式八:使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='bearer',
	# 填入您的Bearer Token
	bearer_token='<BearerToken>',
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()

接口调用方法

本示例以调用呼叫中心CCC的GetInstance接口为例,因此需先安装CCC SDK

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.client import Config as CredConfig
from alibabacloud_ccc20200701.client import Client as CCC20200701Client
from alibabacloud_ccc20200701 import models as ccc20200701_models
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions

# 使用Bearer Token初始化Credentials Client。
credentialsConfig = CredConfig(
    type='bearer',  # 凭证类型。
    bearer_token='<bearer_token>',  # 服务器端自动生成的Bearer Token,带有效期。
)
credentialsClient = CredClient(credentialsConfig)
config = Config(credential=credentialsClient)

# 配置云产品服务接入地址(endpoint)。
config.endpoint = 'ccc.cn-shanghai.aliyuncs.com'
# 使用Credentials Client初始化CCC Client。
cccClient = CCC20200701Client(config)

request = ccc20200701_models.GetInstanceRequest(
    instance_id='ccc-test'
)
# 初始化运行时配置。
runtime_options = RuntimeOptions()
response = cccClient.get_instance_with_options(request, runtime_options)
print(response.to_map())

默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型,常见做法是在代码中获取当前环境信息,编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链,您可以用同一套代码,通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下,直接使用cred = CredClient()初始化凭据客户端时,阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

若不存在优先级更高的凭据信息,Credentials工具会优先在环境变量中获取凭据信息。

  • 如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID(密钥Key) ALIBABA_CLOUD_ACCESS_KEY_SECRET(密钥Value) 不为空,Credentials工具会优先使用它们作为默认凭据。

  • 如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID(密钥Key)、ALIBABA_CLOUD_ACCESS_KEY_SECRET(密钥Value)、ALIBABA_CLOUD_SECURITY_TOKEN(Token)均不为空,Credentials工具会优先使用STS Token作为默认凭据。

2. 使用OIDC RAM角色

若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取如下内容:

ALIBABA_CLOUD_ROLE_ARN:RAM角色名称ARN;

ALIBABA_CLOUD_OIDC_PROVIDER_ARN:OIDC提供商ARN;

ALIBABA_CLOUD_OIDC_TOKEN_FILE:OIDC Token文件路径;

若以上三个环境变量都已设置内容,Credentials将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。

3. 使用配置文件

若不存在优先级更高的凭据信息,Credentials工具会优先在如下位置查找文件是否存在。

Linux系统:~/.alibabacloud/credentials.ini

Windows系统: C:\Users\USER_NAME\.alibabacloud\credentials.ini

您也可通过环境变量 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在,程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端。当然,您也可以通过环境变量 ALIBABA_CLOUD_PROFILE 来指定凭据信息,例如设置 ALIBABA_CLOUD_PROFILE 的值为client1

配置示例信息如下:

[default]
enable=true
type=access_key
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>

[client1]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>

[client2]
enable=true
type=ram_role_arn
policy=<policy>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>

[client3]
enable=true
type=oidc_role_arn
policy=<policy>
oidc_provider_arn=<ALIBABA_CLOUD_ACCESS_KEY_ID>
oidc_token_file_path=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>

4. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA(ECS实例RAM角色名称),若存在,程序将会通过ECS的元数据服务(Meta Data Server)获取ECS实例RAM角色的STS Token作为默认凭据信息。

5. 使用Credentials工具URI

若不存在优先级更高的凭据信息,Credentials工具会在环境变量中获取ALIBABA_CLOUD_CREDENTIALS_URI,若存在,程序将请求该URI地址,获取临时安全凭证作为默认凭据信息。

保护凭据信息最佳实践

在云上业务中,凭据信息的泄露可能导致系统遭受攻击。因此,保护凭据信息的安全至关重要。以下是几种有效的做法,可以避免在代码中暴露明文凭据信息,从而降低凭据泄露的风险。更多信息,请参见使用访问凭据访问阿里云OpenAPI最佳实践

1. 使用临时安全凭证(STS token

说明

临时安全凭证(STS Token):STS token提供了一种具有短期有效性的身份凭证,推荐在处理敏感操作时使用STS Token,而不是长期有效的Access Key。

  • ECS 实例 RAM 角色:如果您的应用部署在ECS(Elastic Compute Service)实例上,可以将RAM角色绑定到该实例。通过ECS实例的元数据服务动态获取临时安全凭证(STS Token),从而避免在代码中硬编码明文Access Key。更多信息,请参见通过ECS实例RAM角色授权ECS访问其他云服务

  • 开启 RRSA 功能:在阿里云容器服务Kubernetes版(ACK)中,启用RRSA(RAM Roles for Service Account)功能。此功能实现Pod级别的权限隔离,能够自动向环境变量注入OIDC相关信息。借助Credentials工具,您可以获取临时访问凭据STS Token,以实现更精细的权限控制。更多信息,请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离

2. 使用默认凭据链

当您在初始化凭据客户端不传入任何参数时,Credentials工具会使用默认凭据链方式初始化客户端。

3. 使用密钥管理服务(KMS)托管凭据

密钥管理服务(Key Management Service)允许用户安全地存储和管理数据库账号口令、服务器账号口令、SSH Key、访问密钥等敏感信息,通过集成阿里云SDK等方式,业务应用可动态获取这些凭据信息,从而避免明文存储带来的信息泄露或非法操作风险。使用KMS托管RAM凭据时,应用程序仅需配置凭据名称而非真实AccessKey,进一步提升安全性。此外,KMS支持自动轮转RAM凭据,有效降低AccessKey泄露风险并确保持续安全。更多信息,请参见管理及使用RAM凭据

4. 风险监测与处理

  • 关注云安全中心发出的安全告警,云安全中心会对已经明确发生的AK泄露,异常API调用,异常登录等风险发出告警,建议您及时查看并处理外泄的AK事件。更多信息,请参见AK泄露检测

  • 利用操作审计追踪,操作审计能够详细记录用户在阿里云上的所有操作,包括谁在何时进行了什么操作,操作的来源IP及操作结果等信息。利用这些记录,您可以及时发现异常行为,并采取相应措施。更多信息,请参见通过操作审计查看RAM的操作事件

  • 如发生凭据泄露,更多信息,请参见AccessKey泄露处理方案。通过实施以上最佳实践,您可以有效减少凭据泄露风险,从而确保云上资源的安全性。

重要
  • 切勿硬编码Access Key(AK):在业务代码中硬编码凭据的做法极易导致泄露,比如被同事、外部攻击者或在公共代码仓库中猎取。

  • 避免使用阿里云主账号AK:主账号拥有所有资源的访问权限,一旦泄露风险巨大,强烈建议避免使用。强烈建议使用具有最小权限的RAM用户AK。

如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时,可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端,传入到不同的接口请求客户端。

import os

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config1 = Config(
    type='access_key',
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred1 = Client(config1)

config2 = Config(
    type='sts',
    access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
    access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
    security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN')
)
cred2 = Client(config2)

使用AuthUtils

当我们初始化凭据客户端采用配置文件记录凭据信息时,可以使用auth_util.client_type切换到不同的凭据配置上。示例代码如下。

from alibabacloud_credentials.utils import auth_util
from alibabacloud_credentials.client import Client

# 若不配置AuthUtils类clientType属性,则默认使用default。
credentialClient = Client()
# 切换到client1凭据上
auth_util.client_type = "client1"
credentialClient1 = Client()
# 切换到client2凭据上
auth_util.client_type = "client2"
credentialClient2 = Client()

相关文档