Resource Access Management：使用訪問憑據訪問阿里雲OpenAPI最佳實務

容器執行個體角色扮演

前提條件

• 適用於支援RAM的雲端服務。

• RRSA功能目前僅支援1.22及以上版本的叢集，即ACK託管叢集基礎版、ACK託管叢集Pro版、ACK Serverless叢集基礎版、ACK Serverless叢集Pro版和ACK Edge叢集Pro版。

• 使用V2.0版本的阿里雲SDK。

• 自建網關類產品的自研SDK無法使用。

原理介紹

基於RRSA功能，您可以在叢集內實現Pod層級隔離的應用關聯RAM角色功能。各個應用可以扮演獨立的RAM角色並使用擷取的臨時憑證訪問雲資源，從而實現應用RAM許可權最小化以及無AccessKey訪問阿里雲OpenAPI避免AccessKey泄露的需求。

配置方法

• ACK容器叢集開啟RRSA功能。詳細資料，請參見啟用RRSA功能。

• ACK容器叢集使用RRSA功能。詳細資料，請參見使用RRSA功能。

程式碼範例

目前，阿里雲V2.0 SDK已經內建了支援使用RRSA OIDC Token進行OpenAPI認證的功能，所有基於V2.0 SDK產生並且支援STS Token認證的雲產品SDK都將預設支援RRSA OIDC Token認證。支援此功能的SDK版本資訊和參考代碼如下。

ECS執行個體角色扮演

前提條件

• 適用於支援阿里雲RAM的雲端服務。

• 使用V2.0版本的阿里雲SDK。

• 自建網關類產品的自研SDK無法使用。

原理介紹

執行個體RAM角色允許您將一個角色關聯到ECS執行個體，在ECS執行個體內部基於STS（Security Token Service）臨時憑證訪問其他雲產品的API，臨時憑證將周期性更新。既可以保證雲帳號AccessKey的安全性，也可以藉助存取控制RAM實現精細化控制和許可權管理。

工作流程如下：

1. 應用程式訪問ECS執行個體中繼資料擷取STS臨時憑證。詳細資料，請參見ECS執行個體中繼資料概述。

2. 使用STS臨時憑證訪問雲資源。詳細資料，請參見什麼是STS。

配置方法

為ECS執行個體授予RAM角色。詳細資料，請參見執行個體RAM角色。

範例程式碼

Alibaba Cloud Credentials是阿里雲為阿里雲開發人員使用者提供身份憑證管理工具，使用Credentials工具可以為您提供更加便捷的方式使用ECS執行個體角色扮演功能，以調用Elastic Compute Service的DescribeRegions介面為例，參考代碼如下。

員工使用STS Token進行開發調試

情境描述

針對研發、營運、產品等職能員工，需要使用AccessKey進行營運、管理、調試等操作，建議通過角色SSO的方式，扮演其對應職能的RAM角色，擷取STS Token。

配置方法

• 針對單帳號情境，建議在雲帳號內配置基於SAML的角色SSO，並按職能為員工分配RAM角色。員工可以在命令列中使用saml2alibabacloud工具，完成IdP側的認證後，即可擷取到STS Token。

• 針對多帳號情境，建議使用雲SSO進行多帳號的單點登入配置。配置完成後，員工即可使用CLI登入雲SSO並訪問阿里雲資源。

Function Compute使用STS Token

情境描述

客戶在FC函數上部署的應用程式需要訪問其他雲資源，傳統的方式是客戶將RAM使用者的AK（Access Key）固化在函數中，如果將AK寫在設定檔中，容易造成AK泄露，維護困難等問題。FC函數RAM角色通過將FC函數和RAM角色關聯，使用STS Token（Security Token Service）訪問雲資源，解決永久憑證可能導致的安全風險問題。

方案架構

本方案通過FC函數角色實現臨時憑證的擷取和使用。該架構和流程通過動態管理和臨時授予存取權限，避免了長期暴露AK的風險，提高了系統的安全性和靈活性。管理員僅需一次性配置角色和許可權，後續函數在運行時即可動態擷取和使用臨時憑證，簡化了營運管理工作。

管理員建立一個受信給Function Compute的Role（角色），並對該角色授予相應的許可權。角色許可權包含訪問需要的雲資源的許可權（圖中1）。管理員將建立好的角色配置到對應的FC函數上，使函數與角色關聯（圖中2）。客戶應用程式從函數上下文中擷取臨時安全憑證（STS Token）（圖中3），該過程中Function Compute會使用雲端服務的身份調用AssumeRole介面，從RAM/STS服務擷取STS Token（圖中i）。 客戶應用程式使用擷取到的STS Token來調用目標雲資源服務的API（圖中4）。資源服務API處理請求並返回訪問結果，用戶端應用程式接收到返回的結果後完成相應的商務邏輯。

配置方法

具體操作，請參見授予Function Compute訪問其他雲端服務的許可權。

配置系統內容變數

配置方法

配置環境變數ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET。

• Linux和macOS系統配置方法

  執行以下命令：

  export ALIBABA_CLOUD_ACCESS_KEY_ID=<access_key_id>
  export ALIBABA_CLOUD_ACCESS_KEY_SECRET=<access_key_secret>

  <access_key_id>需替換為已準備好的AccessKey ID，<access_key_secret>替換為AccessKey Secret。

• Windows系統配置方法

  1. 建立環境變數檔案，添加環境變數ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET，並寫入已準備好的AccessKey ID和AccessKey Secret。

  2. 重啟Windows系統。

阿里雲SDK程式碼範例

阿里雲SDK支援通過定義ALIBABA_CLOUD_ACCESS_KEY_ID和ALIBABA_CLOUD_ACCESS_KEY_SECRET環境變數來建立預設的訪問憑證。調用介面時，程式直接存取憑證，讀取您的存取金鑰（即AccessKey）並自動完成鑒權。以調用Elastic Compute Service的DescribeRegions介面為例，參考代碼如下。

通用程式碼範例

對於自建網關類產品的自研SDK等無法使用阿里雲SDK的情境，以Java語言為例，可以採用下面的方式載入環境變數。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        // Which type of credential you want
        config.setType("access_key");
        // AccessKeyId of your ram user
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // AccessKeySecret of your ram user
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}