配置访问凭证

访问凭证选型

• 临时访问凭证：对于需要高安全性的场景，建议使用临时访问凭证。临时访问凭证可以限制访问的有效期，从而减少访问凭证泄露的风险。此外，临时访问凭证支持权限控制，可以有效地避免权限过大的问题。

• 长期访问凭证：出于安全性考虑，不建议您使用长期访问凭证。对于需要便利性的场景，长期访问凭证可以在较长时间内免除多次刷新的麻烦。

  重要

  • 建议每三个月更换一次长期访问凭证，以提高账号的安全性。

  • 当长期访问凭证泄露或者不再使用时，应该及时删除或者禁用相关的访问凭证，以免造成安全风险。

临时访问凭证

当您准备临时使用 Go SDK 访问 Tablestore 服务时，您可以通过 STS 服务颁发一个 STS 临时访问凭证。临时访问凭证无需透露您的 RAM 用户密钥，使 Tablestore 的访问更加安全。

1. 创建 RAM 用户。具体操作，请参见创建 RAM 用户。

2. 为 RAM 用户授予 AliyunSTSAssumeRoleAccess 权限。具体操作，请参见为 RAM 用户授权。

3. 创建 RAM 角色，并为 RAM 角色授予自定义权限策略。具体操作，请参见创建 RAM 角色和为 RAM 角色授予自定义权限策略。

4. 使用 RAM 用户扮演 RAM 角色获取 STS 临时访问凭证。具体操作，请参见获取 STS 临时访问凭证。

5. 配置 STS 临时访问凭证。

   环境变量

   1. 使用临时身份凭证设置环境变量。

      Mac OS X/Linux/Unix

      export OTS_AK_ENV=<OTS_AK_ENV>
      export OTS_SK_ENV=<OTS_SK_ENV>
      export OTS_SESSION_TOKEN=<OTS_SESSION_TOKEN>

      Windows

      以管理员身份运行命令提示符，执行以下命令。

      setx OTS_AK_ENV <OTS_AK_ENV> /m
      setx OTS_SK_ENV <OTS_SK_ENV> /m
      setx OTS_SESSION_TOKEN <OTS_SESSION_TOKEN> /m

      说明

      环境变量配置完成后，为确保新的设置被正确应用，您可能需要重启相关的开发工具（IDE 等）或服务。

   2. 通过环境变量来传递凭证信息。

      accessKeyId := os.Getenv("OTS_AK_ENV")
      accessKeySecret := os.Getenv("OTS_SK_ENV")
      securityToken := os.Getenv("OTS_SESSION_TOKEN")

   静态凭证

   您可以在代码中使用变量来引用凭证，这些变量在运行时会被环境变量、配置文件或其他外部数据源中的实际凭证值填充。

   以下操作步骤以配置文件为例。

   1. 创建配置文件 config.ini。

      [credentials]
      OTS_AK_ENV = <OTS_AK_ENV>
      OTS_SK_ENV = <OTS_SK_ENV>
      OTS_SESSION_TOKEN = <OTS_SESSION_TOKEN>

   2. 使用配置文件来传递凭证信息。

      // 读取配置文件
      config, err := ini.Load("config.ini")
      if err != nil {
          fmt.Println("无法读取配置文件:", err)
      }
      
      // 从配置文件中获取Access Key ID和Access Key Secret
      access_key_id := config.Section("credentials").Key("OTS_AK_ENV").String()
      access_key_secret := config.Section("credentials").Key("OTS_SK_ENV").String()
      security_token := config.Section("credentials").Key("OTS_SESSION_TOKEN").String()

长期访问凭证

如果您的应用程序部署运行在安全、稳定且不易受外部攻击的环境中，需要长期使用 Go SDK 访问您的 Tablestore，您可以使用阿里云账号或 RAM 用户的 AK（Access Key ID、Access Key Secret）的方式访问。如何获取 AK，请参见使用 RAM 用户密钥发起请求。