配置憑證

憑證說明

• AK類型憑證為預設憑證類型，使用AccessKey資訊作為身份憑證。配置AK類型憑證時可以忽略--mode選項。

• 配置必填項如下：

  • AccessKey Id：指定您的AccessKey ID。擷取方式請參見建立RAM使用者的AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。擷取方式請參見建立RAM使用者的AccessKey。

  • Region Id：指定預設區域的Region Id。阿里雲支援的Region Id，請參見地區和可用性區域。

配置樣本

如下樣本，配置名為AkProfile的AK類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile AkProfile

  配置互動過程樣本如下：

  樣本

  Configuring profile 'AkProfile' in 'AK' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[akProfile] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile AkProfile \
    --mode AK \
    --access-key-id **** \
    --access-key-secret **** \
    --region **** 

憑證說明

• 阿里雲STS（Security Token Service）是阿里雲提供的一種臨時存取權限管理服務。有關STS Token的更多資訊，請參見什麼是STS。

• STS Token具有時效性，到期失效後需要重新擷取。在阿里雲CLI中，StsToken類型不支援自動重新整理身份憑證，推薦您配置以下類型憑證使用阿里雲CLI：

  • 部分憑證類型支援自動重新整理身份憑證，具體類型如下所示：

    • RamRoleArn

    • EcsRamRole

    • OIDC

    • ChainableRamRoleArn

  • 雲SSO使用者可通過配置External類型憑證訪問阿里雲資源。具體操作，請參見使用CLI登入雲SSO並訪問阿里雲資源。

  • 部分憑證類型支援開發人員自行實現身份憑證重新整理機制，具體類型如下所示：

    • CredentialsURI

    • External

• 配置StsToken類型憑證時，需要在命令中使用--mode StsToken指定憑證類型。

• 配置必填項如下：

  • AccessKey Id：指定您的AccessKey ID。擷取方式請參見建立AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。擷取方式請參見建立AccessKey。

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

  • STS Token：指定StsToken鑒權所需要的資訊。擷取方式請參見擷取扮演角色的臨時身份憑證。

配置樣本

如下樣本，配置名為StsProfile的StsToken類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile StsProfile --mode StsToken

  配置互動過程樣本如下：

  樣本

  Configuring profile 'StsProfile' in 'StsToken' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Sts Token []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[stsTokenProfile] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile StsProfile \
    --mode StsToken \
    --access-key-id **** \
    --access-key-secret **** \
    --sts-token **** \
    --region **** 

憑證說明

• RamRoleArn類型憑證通過調用STS服務的AssumeRole介面擷取臨時身份憑證（STS Token）。更多資訊，請參見以下文檔：

  • 什麼是STS。

  • AssumeRole - 擷取扮演角色的臨時身份憑證。

• RamRoleArn類型憑證支援自動重新整理臨時身份憑證。

• 配置必填項如下：

  • AccessKey Id：指定您的AccessKey ID。擷取方式請參見建立AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。擷取方式請參見建立AccessKey。

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通過RAM控制台或API查看角色 ARN，具體操作如下：

    • RAM控制台：請參見如何查看 RAM 角色的 ARN。

    • API：請參見ListRoles - 擷取角色列表或GetRole - 擷取角色資訊。

  • RoleSessionName：角色會話名稱。該參數為使用者自訂參數，通常設定為調用該API的使用者身份，例如：使用者名稱。

配置樣本

如下樣本，配置名為RamRoleArnProfile的RamRoleArn類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

  配置互動過程樣本如下：

  樣本

  Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Ram Role Arn []: ****
  Role Session Name []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[ramRoleArnProfile] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile RamRoleArnProfile \
    --mode RamRoleArn \
    --access-key-id **** \
    --access-key-secret **** \
    --ram-role-arn **** \
    --role-session-name ****\
    --region **** 

憑證說明

• EcsRamRole類型憑證無需配置AccessKey，當您在ECS或ECI執行個體內部使用阿里雲CLI時，可通過訪問中繼資料服務（Meta Data Service）擷取RAM角色的臨時身份憑證（STS Token）以調用OpenAPI，從而降低AccessKey泄露的風險。

• EcsRamRole類型憑證支援自動重新整理臨時身份憑證。

• 執行個體中繼資料服務器支援加固模式和普通模式兩種訪問方式，阿里雲CLI預設使用加固模式（IMDSv2）擷取訪問憑據。若使用加固模式時發生異常，您可以通過設定環境變數ALIBABA_CLOUD_IMDSV1_DISABLED來執行不同的異常處理邏輯，變數值參考如下所示：

  • 當值為false（預設值）時，會使用普通模式繼續擷取訪問憑據。

  • 當值為true時，表示只能使用加固模式擷取訪問憑據，會拋出異常。

  服務端是否支援IMDSv2，取決於您在伺服器的配置。

  配置環境變數的具體操作，請參見在Linux、macOS和Windows系統配置環境變數。

• 配置必填項如下：

  • Region Id：指定預設地區的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

配置樣本

如下樣本，配置名為EcsRamRoleProfile的EcsRamRole類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile EcsRamRoleProfile --mode EcsRamRole

  配置互動過程樣本如下：

  樣本

  Configuring profile 'EcsRamRoleProfile' in 'EcsRamRole' authenticate mode...
  Ecs Ram Role []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[ecsRamRamRoleArnProfile] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile EcsRamRoleProfile \
    --mode EcsRamRole \
    --region ****

憑證說明

• External類型憑證通過外部程式擷取憑證資料，阿里雲CLI在使用時會執行該程式命令，擷取返回結果作為憑證。該憑證類型支援使用者自行實現身份憑證重新整理機制。

• External類型憑證支援使用者自行實現身份憑證重新整理機制。

• 阿里雲CLI支援通過配置External類型憑證登入雲SSO。具體操作，請參見使用CLI登入雲SSO並訪問阿里雲資源。

• 配置必填項如下：

  • Process Command：外部程式命令。支援外部程式返回Accesskey和STS Token兩種靜態憑證。憑證結構樣本如下：

    AK

    {
      "mode": "AK",
      "access_key_id": "accessKeyId",
      "access_key_secret": "accessKeySecret"
    }

    StsToken

    {
      "mode": "StsToken",
      "access_key_id": "accessKeyId",
      "access_key_secret": "accessKeySecret",
      "sts_token": "stsToken"
    }

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

配置樣本

如下樣本，配置名為ExternalProfile的External類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile ExternalProfile --mode External

  配置互動過程樣本如下：

  樣本

  Configuring profile 'ExternalProfile' in 'External' authenticate mode...
  Process Command []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[externalTest] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile ExternalProfile \
    --mode External \
    --process-command **** \
    --region ****

憑證說明

• ChainableRamRoleArn類型憑證通過指定一個前置身份憑證配置，從前置配置中擷取中間憑證（AccessKey或STS Token），再基於中間憑證完成角色扮演，擷取最終的臨時身份憑證（STS Token）。

• ChainableRamRoleArn類型憑證支援自動重新整理身份憑證。

• 配置必填項如下：

  • Source Profile：前置身份憑證配置名稱。前置憑證類型不作限制，在配置ChainableRamRoleArn類型憑證之前，您需要先配置前置憑證。詳情可參見配置樣本。

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通過RAM控制台或API查看角色 ARN，具體操作如下：

    • RAM控制台：請參見如何查看 RAM 角色的 ARN。

    • API：請參見ListRoles - 擷取角色列表或GetRole - 擷取角色資訊。

  • RoleSessionName：角色會話名稱。該參數為使用者自訂參數，通常設定為調用該API的使用者身份，例如：使用者名稱。

配置樣本

樣本如下，以配置名為ChainableProfile的ChainableRamRoleArn類型憑證為例，使用RamRoleArn類型憑證RamRoleArnProfile作為前置身份憑證。

• 互動式配置

  1. 配置前置身份憑證RamRoleArnProfile，配置流程可參考RamRoleArn類型憑證配置樣本。

  2. 執行如下命令，配置ChainableRamRoleArn類型憑證ChainableProfile。

     aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

     配置互動過程樣本如下，在Source Profile選項處輸入配置名稱RamRoleArnProfile，以指定前置憑證：

     樣本

     Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
     Source Profile []: RamRoleArnProfile
     Sts Region []: ****
     Ram Role Arn []: ****
     Role Session Name []: ****
     Expired Seconds [900]: ****
     Default Region Id []: ****
     Default Output Format [json]: json (Only support json)
     Default Language [zh|en] en: en
     Saving profile[p1] ...Done.

• 暫不支援使用非互動式方式配置ChainableRamRoleArn類型憑證。

憑證說明

• CredentialsURI類型憑證通過訪問您提供的URI地址擷取臨時身份憑證（STS Token）以調用OpenAPI。

• CredentialsURI類型憑證支援使用者自行實現身份憑證重新整理機制。

• 配置必填項如下：

  • CredentialsURI：本地或遠程URI地址。若該地址無法正常訪問或返回結構不正確，阿里雲CLI將處理為失敗案例。標準返回結構如下所示：

    標準返回結構

    {
      "Code": "Success",
      "AccessKeyId": "<ak id>",
      "AccessKeySecret": "<ak secret>",
      "SecurityToken": "<security token>",
      "Expiration": "2006-01-02T15:04:05Z"
    }

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

配置樣本

如下樣本，配置名為URIProfile的CredentialsURI類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile URIProfile --mode CredentialsURI

  配置互動過程樣本如下：

  樣本

  Configuring profile 'URIProfile' in 'CredentialsURI' authenticate mode...
  Credentials URI []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[cup] ...Done.

• 暫不支援使用非互動式方式配置CredentialsURI類型憑證。

憑證說明

• 在Container Service Kubernetes 版中設定了Worker節點RAM角色後，對應節點內的Pod中的應用也就可以像ECS上部署的應用一樣，通過中繼資料服務（Meta Data Server）擷取關聯角色的STS Token。但如果容器叢集上部署的是不可信的應用（比如部署您的客戶提交的應用，代碼也沒有對您開放），您可能並不希望它們能通過中繼資料服務擷取Worker節點關聯執行個體RAM角色的STS Token。為了避免影響雲上資源的安全，同時又能讓這些不可信的應用安全地擷取所需的 STS Token，實現應用層級的許可權最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里雲容器叢集會為不同的應用Pod建立和掛載相應的服務賬戶OIDC Token檔案，並將相關配置資訊注入到環境變數中，阿里雲CLI工具通過擷取環境變數的配置資訊，調用STS服務的AssumeRoleWithOIDC - OIDC角色SSO時擷取扮演角色的臨時身份憑證介面換取綁定角色的STS Token。詳情請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。

• OIDC類型憑證支援自動重新整理臨時身份憑證。

• 配置必填項如下：

  • OIDCProviderARN：指定OIDC身份供應商的ARN。您可以通過 RAM 控制台或 API 查看 OIDC 身份供應商的 ARN，具體操作如下：

    • RAM 控制台：請參見管理OIDC身份供應商。

    • API：請參見GetOIDCProvider - 查詢OIDC身份供應商資訊或ListOIDCProviders - 查詢OIDC身份供應商列表。

  • OIDCTokenFile：指定OIDC Token檔案路徑。OIDC Token是由外部IdP簽發的OIDC令牌。

  • Region Id：指定預設區域的RegionId。阿里雲支援的RegionId，請參見地區和可用性區域。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通過RAM控制台或API查看角色ARN，具體操作如下：

    • RAM控制台：請參見如何查看 RAM 角色的 ARN。

    • API：請參見ListRoles - 擷取角色列表或GetRole - 擷取角色資訊。

  • RoleSessionName：角色會話名稱。該參數為使用者自訂參數，通常設定為調用該API的使用者身份，例如：使用者名稱。

配置樣本

如下樣本，配置名為OIDCProfile的OIDC類型憑證。

• 互動式配置

  配置命令如下：

  aliyun configure --profile OIDCProfile --mode OIDC

  配置互動過程樣本如下：

  樣本

  Configuring profile 'OIDCProfile' in 'OIDC' authenticate mode...
  OIDC Provider ARN []: ****
  OIDC Token File []: ****
  RAM Role ARN []: ****
  Role Session Name []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[oidc_p] ...Done.

• 非互動式配置

  使用configure命令下的set子命令進行非互動式配置，配置命令如下：

  aliyun configure set \
    --profile OIDCProfile \
    --mode OIDC \
    --oidc-provider-arn **** \
    --oidc-token-file **** \
    --ram-role-arn **** \
    --role-session-name ****\
    --region ****