配置访问凭证

配置STS临时访问凭证

如果您需要在规定时间内访问Tablestore，您可以通过STS服务颁发一个STS临时访问凭证。临时访问凭证无需透露您的RAM用户密钥，使Tablestore的访问更加安全。

1. 创建RAM用户。具体操作，请参见创建RAM用户。

2. 为RAM用户授予 AliyunSTSAssumeRoleAccess权限。具体操作，请参见为RAM用户授权。

3. 创建RAM角色，并为RAM角色授予自定义权限策略。具体操作，请参见创建RAM角色和为RAM角色授予自定义权限策略。

4. 使用RAM用户扮演RAM角色获取STS临时访问凭证。具体操作，请参见获取STS临时访问凭证。

5. 配置STS临时访问凭证。

   环境变量

   1. 使用临时身份凭证设置环境变量。

      Mac OS X/Linux/Unix

      export OTS_AK_ENV=<OTS_AK_ENV>
      export OTS_SK_ENV=<OTS_SK_ENV>
      export OTS_SESSION_TOKEN=<OTS_SESSION_TOKEN>

      Windows

      以管理员身份运行命令提示符，执行以下命令。

      setx OTS_AK_ENV <OTS_AK_ENV> /m
      setx OTS_SK_ENV <OTS_SK_ENV> /m
      setx OTS_SESSION_TOKEN <OTS_SESSION_TOKEN> /m

      说明

      环境变量配置完成后，为确保新的设置被正确应用，您可能需要重启相关的开发工具（IDE等）或服务。

   2. 通过环境变量来传递凭证信息。

      # -*- coding: utf-8 -*-
      import os
      
      access_key_id = os.getenv("OTS_AK_ENV")
      access_key_secret = os.getenv("OTS_SK_ENV")
      sts_token = os.getenv("OTS_SESSION_TOKEN")

   静态凭证

   您可以在代码中使用变量来引用凭证，这些变量在运行时会被环境变量、配置文件或其他外部数据源中的实际凭证值填充。

   以下操作步骤以配置文件为例。

   1. 创建配置文件config.ini。

      [configName]
      OTS_AK_ENV = <OTS_AK_ENV>
      OTS_SK_ENV = <OTS_SK_ENV>
      OTS_SESSION_TOKEN = <OTS_SESSION_TOKEN>

   2. 使用配置文件来传递凭证信息。

      # -*- coding: utf-8 -*-
      import configparser
      
      # 读取配置文件
      config = configparser.ConfigParser()
      # 假设config.ini位于脚本同级目录下
      config.read('config.ini')
      
      # 从配置文件中获取Access Key ID和Access Key Secret
      access_key_id = config.get('configName', 'OTS_AK_ENV')
      access_key_secret = config.get('configName', 'OTS_SK_ENV')
      security_token = config.get('configName', 'OTS_SESSION_TOKEN')

使用函数计算上下文中的Credentials

如果您的应用程序的函数部署运行在函数计算中，您可以使用函数计算上下文中的Credentials获取临时访问凭证。

该方式底层实现是STS Token。函数计算根据函数配置的角色，通过扮演服务角色，而获取一个STS Token，然后通过上下文中的参数Credentials将STS Token传递给您的应用程序。该STS Token的有效期为36小时，且不支持修改。函数的最大执行时间为24小时，因此，执行函数过程中，STS Token不会过期，您无需考虑刷新问题。该方式无需您提供一个AK或STS Token，消除了手动维护AK或STS Token的风险。如何授予函数计算访问Tablestore的权限，请参见授予函数计算访问其他云服务的权限。

1. 使用函数计算上下文中的Credentials获取临时访问凭证。

   # -*- coding: utf-8 -*-
   
   def handler(event, context):
       # 获取密钥信息，执行前，确保函数所在的服务配置了角色信息，并且角色需要拥有Tablestore的权限，建议直接使用AliyunFCDefaultRole角色
       creds = context.credentials
   
       access_key_id = creds.access_key_id
       access_key_secret = creds.access_key_secret
       security_token = creds.security_token
   
       # 后续操作...
   
       return 'success'

环境变量

1. 使用AK设置环境变量。

   Mac OS X/Linux/Unix

   export OTS_AK_ENV=<OTS_AK_ENV>
   export OTS_SK_ENV=<OTS_SK_ENV>

   Windows

   以管理员身份运行命令提示符，执行以下命令。

   setx OTS_AK_ENV <OTS_AK_ENV> /m
   setx OTS_SK_ENV <OTS_SK_ENV> /m

   说明

   环境变量配置完成后，为确保新的设置被正确应用，您可能需要重启相关的开发工具（IDE等）或服务。

2. 使用环境变量来传递凭证信息。

   # -*- coding: utf-8 -*-
   import os
   
   access_key_id = os.getenv("OTS_AK_ENV")
   access_key_secret = os.getenv("OTS_SK_ENV")

静态凭证

您可以在代码中使用变量来引用凭证，这些变量在运行时会被环境变量、配置文件或其他外部数据源中的实际凭证值填充。

以下操作步骤以配置文件为例。

1. 创建配置文件config.ini。

   [configName]
   OTS_AK_ENV = <OTS_AK_ENV>
   OTS_SK_ENV = <OTS_SK_ENV>

2. 使用配置文件来传递凭证信息。

   # -*- coding: utf-8 -*-
   import configparser
   
   # 读取配置文件
   config = configparser.ConfigParser()
   # 假设config.ini位于脚本同级目录下
   config.read('config.ini')
   
   # 从配置文件中获取Access Key ID和Access Key Secret
   access_key_id = config.get('configName', 'OTS_AK_ENV')
   access_key_secret = config.get('configName', 'OTS_SK_ENV')