配置凭证

凭证说明

• AK类型凭证为默认凭证类型，使用AccessKey信息作为身份凭证。配置AK类型凭证时可以忽略--mode选项。

• 配置必填项如下：

  • AccessKey Id：指定您的AccessKey ID。获取方式请参见创建RAM用户的AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。获取方式请参见创建RAM用户的AccessKey。

  • Region Id：指定默认区域的Region Id。阿里云支持的Region Id，请参见地域和可用区。

配置示例

如下示例，配置名为AkProfile的AK类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile AkProfile

  配置交互过程示例如下：

  示例

  Configuring profile 'AkProfile' in 'AK' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[akProfile] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile AkProfile \
    --mode AK \
    --access-key-id **** \
    --access-key-secret **** \
    --region **** 

凭证说明

• 阿里云STS（Security Token Service）是阿里云提供的一种临时访问权限管理服务。有关STS Token的更多信息，请参见什么是STS。

• STS Token具有时效性，过期失效后需要重新获取。在阿里云CLI中，StsToken类型不支持自动刷新身份凭证，推荐您配置以下类型凭证使用阿里云CLI：

  • 部分凭证类型支持自动刷新身份凭证，具体类型如下所示：

    • RamRoleArn

    • EcsRamRole

    • OIDC

    • ChainableRamRoleArn

  • 云SSO用户可通过配置External类型凭证访问阿里云资源。具体操作，请参见使用CLI登录云SSO并访问阿里云资源。

  • 部分凭证类型支持开发者自行实现身份凭证刷新机制，具体类型如下所示：

    • CredentialsURI

    • External

• 配置StsToken类型凭证时，需要在命令中使用--mode StsToken指定凭证类型。

• 配置必填项如下：

  • AccessKey Id：指定您的AccessKey ID。获取方式请参见创建AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。获取方式请参见创建AccessKey。

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

  • STS Token：指定StsToken鉴权所需要的信息。获取方式请参见获取扮演角色的临时身份凭证。

配置示例

如下示例，配置名为StsProfile的StsToken类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile StsProfile --mode StsToken

  配置交互过程示例如下：

  示例

  Configuring profile 'StsProfile' in 'StsToken' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Sts Token []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[stsTokenProfile] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile StsProfile \
    --mode StsToken \
    --access-key-id **** \
    --access-key-secret **** \
    --sts-token **** \
    --region **** 

凭证说明

• RamRoleArn类型凭证通过调用STS服务的AssumeRole接口获取临时身份凭证（STS Token）。更多信息，请参见以下文档：

  • 什么是STS。

  • AssumeRole - 获取扮演角色的临时身份凭证。

• RamRoleArn类型凭证支持自动刷新临时身份凭证。

• 配置必填项如下：

  • AccessKey Id：指定您的AccessKey ID。获取方式请参见创建AccessKey。

  • AccessKey Secret：指定您的AccessKey Secret。获取方式请参见创建AccessKey。

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通过RAM控制台或API查看角色 ARN，具体操作如下：

    • RAM控制台：请参见如何查看 RAM 角色的 ARN。

    • API：请参见ListRoles - 获取角色列表或GetRole - 获取角色信息。

  • RoleSessionName：角色会话名称。该参数为用户自定义参数，通常设置为调用该API的用户身份，例如：用户名。

配置示例

如下示例，配置名为RamRoleArnProfile的RamRoleArn类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

  配置交互过程示例如下：

  示例

  Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
  Access Key Id []: ****
  Access Key Secret []: ****
  Ram Role Arn []: ****
  Role Session Name []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[ramRoleArnProfile] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile RamRoleArnProfile \
    --mode RamRoleArn \
    --access-key-id **** \
    --access-key-secret **** \
    --ram-role-arn **** \
    --role-session-name ****\
    --region **** 

凭证说明

• EcsRamRole类型凭证无需配置AccessKey，当您在ECS或ECI实例内部使用阿里云CLI时，可通过访问元数据服务（Meta Data Service）获取RAM角色的临时身份凭证（STS Token）以调用OpenAPI，从而降低AccessKey泄露的风险。

• EcsRamRole类型凭证支持自动刷新临时身份凭证。

• 实例元数据服务器支持加固模式和普通模式两种访问方式，阿里云CLI默认使用加固模式（IMDSv2）获取访问凭据。若使用加固模式时发生异常，您可以通过设置环境变量ALIBABA_CLOUD_IMDSV1_DISABLED来执行不同的异常处理逻辑，变量值参考如下所示：

  • 当值为false（默认值）时，会使用普通模式继续获取访问凭据。

  • 当值为true时，表示只能使用加固模式获取访问凭据，会抛出异常。

  服务端是否支持IMDSv2，取决于您在服务器的配置。

  配置环境变量的具体操作，请参见在Linux、macOS和Windows系统配置环境变量。

• 配置必填项如下：

  • Region Id：指定默认地域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

配置示例

如下示例，配置名为EcsRamRoleProfile的EcsRamRole类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile EcsRamRoleProfile --mode EcsRamRole

  配置交互过程示例如下：

  示例

  Configuring profile 'EcsRamRoleProfile' in 'EcsRamRole' authenticate mode...
  Ecs Ram Role []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json))
  Default Language [zh|en] en: en
  Saving profile[ecsRamRamRoleArnProfile] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile EcsRamRoleProfile \
    --mode EcsRamRole \
    --region ****

凭证说明

• External类型凭证通过外部程序获取凭证数据，阿里云CLI在使用时会执行该程序命令，获取返回结果作为凭证。该凭证类型支持用户自行实现身份凭证刷新机制。

• External类型凭证支持用户自行实现身份凭证刷新机制。

• 阿里云CLI支持通过配置External类型凭证登录云SSO。具体操作，请参见使用CLI登录云SSO并访问阿里云资源。

• 配置必填项如下：

  • Process Command：外部程序命令。支持外部程序返回Accesskey和STS Token两种静态凭证。凭证结构示例如下：

    AK

    {
      "mode": "AK",
      "access_key_id": "accessKeyId",
      "access_key_secret": "accessKeySecret"
    }

    StsToken

    {
      "mode": "StsToken",
      "access_key_id": "accessKeyId",
      "access_key_secret": "accessKeySecret",
      "sts_token": "stsToken"
    }

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

配置示例

如下示例，配置名为ExternalProfile的External类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile ExternalProfile --mode External

  配置交互过程示例如下：

  示例

  Configuring profile 'ExternalProfile' in 'External' authenticate mode...
  Process Command []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[externalTest] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile ExternalProfile \
    --mode External \
    --process-command **** \
    --region ****

凭证说明

• ChainableRamRoleArn类型凭证通过指定一个前置身份凭证配置，从前置配置中获取中间凭证（AccessKey或STS Token），再基于中间凭证完成角色扮演，获取最终的临时身份凭证（STS Token）。

• ChainableRamRoleArn类型凭证支持自动刷新身份凭证。

• 配置必填项如下：

  • Source Profile：前置身份凭证配置名称。前置凭证类型不作限制，在配置ChainableRamRoleArn类型凭证之前，您需要先配置前置凭证。详情可参见配置示例。

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通过RAM控制台或API查看角色 ARN，具体操作如下：

    • RAM控制台：请参见如何查看 RAM 角色的 ARN。

    • API：请参见ListRoles - 获取角色列表或GetRole - 获取角色信息。

  • RoleSessionName：角色会话名称。该参数为用户自定义参数，通常设置为调用该API的用户身份，例如：用户名。

配置示例

示例如下，以配置名为ChainableProfile的ChainableRamRoleArn类型凭证为例，使用RamRoleArn类型凭证RamRoleArnProfile作为前置身份凭证。

• 交互式配置

  1. 配置前置身份凭证RamRoleArnProfile，配置流程可参考RamRoleArn类型凭证配置示例。

  2. 执行如下命令，配置ChainableRamRoleArn类型凭证ChainableProfile。

     aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

     配置交互过程示例如下，在Source Profile选项处输入配置名称RamRoleArnProfile，以指定前置凭证：

     示例

     Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
     Source Profile []: RamRoleArnProfile
     Sts Region []: ****
     Ram Role Arn []: ****
     Role Session Name []: ****
     Expired Seconds [900]: ****
     Default Region Id []: ****
     Default Output Format [json]: json (Only support json)
     Default Language [zh|en] en: en
     Saving profile[p1] ...Done.

• 暂不支持使用非交互式方式配置ChainableRamRoleArn类型凭证。

凭证说明

• CredentialsURI类型凭证通过访问您提供的URI地址获取临时身份凭证（STS Token）以调用OpenAPI。

• CredentialsURI类型凭证支持用户自行实现身份凭证刷新机制。

• 配置必填项如下：

  • CredentialsURI：本地或远程URI地址。若该地址无法正常访问或返回结构不正确，阿里云CLI将处理为失败案例。标准返回结构如下所示：

    标准返回结构

    {
      "Code": "Success",
      "AccessKeyId": "<ak id>",
      "AccessKeySecret": "<ak secret>",
      "SecurityToken": "<security token>",
      "Expiration": "2006-01-02T15:04:05Z"
    }

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

配置示例

如下示例，配置名为URIProfile的CredentialsURI类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile URIProfile --mode CredentialsURI

  配置交互过程示例如下：

  示例

  Configuring profile 'URIProfile' in 'CredentialsURI' authenticate mode...
  Credentials URI []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[cup] ...Done.

• 暂不支持使用非交互式方式配置CredentialsURI类型凭证。

凭证说明

• 在容器服务 Kubernetes 版中设置了Worker节点RAM角色后，对应节点内的Pod中的应用也就可以像ECS上部署的应用一样，通过元数据服务（Meta Data Server）获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用（比如部署您的客户提交的应用，代码也没有对您开放），您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全，同时又能让这些不可信的应用安全地获取所需的 STS Token，实现应用级别的权限最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件，并将相关配置信息注入到环境变量中，阿里云CLI工具通过获取环境变量的配置信息，调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

• OIDC类型凭证支持自动刷新临时身份凭证。

• 配置必填项如下：

  • OIDCProviderARN：指定OIDC身份提供商的ARN。您可以通过 RAM 控制台或 API 查看 OIDC 身份提供商的 ARN，具体操作如下：

    • RAM 控制台：请参见管理OIDC身份提供商。

    • API：请参见GetOIDCProvider - 查询OIDC身份提供商信息或ListOIDCProviders - 查询OIDC身份提供商列表。

  • OIDCTokenFile：指定OIDC Token文件路径。OIDC Token是由外部IdP签发的OIDC令牌。

  • Region Id：指定默认区域的RegionId。阿里云支持的RegionId，请参见地域和可用区。

  • RamRoleArn：需要扮演的RAM角色ARN。您可以通过RAM控制台或API查看角色ARN，具体操作如下：

    • RAM控制台：请参见如何查看 RAM 角色的 ARN。

    • API：请参见ListRoles - 获取角色列表或GetRole - 获取角色信息。

  • RoleSessionName：角色会话名称。该参数为用户自定义参数，通常设置为调用该API的用户身份，例如：用户名。

配置示例

如下示例，配置名为OIDCProfile的OIDC类型凭证。

• 交互式配置

  配置命令如下：

  aliyun configure --profile OIDCProfile --mode OIDC

  配置交互过程示例如下：

  示例

  Configuring profile 'OIDCProfile' in 'OIDC' authenticate mode...
  OIDC Provider ARN []: ****
  OIDC Token File []: ****
  RAM Role ARN []: ****
  Role Session Name []: ****
  Default Region Id []: ****
  Default Output Format [json]: json (Only support json)
  Default Language [zh|en] en: en
  Saving profile[oidc_p] ...Done.

• 非交互式配置

  使用configure命令下的set子命令进行非交互式配置，配置命令如下：

  aliyun configure set \
    --profile OIDCProfile \
    --mode OIDC \
    --oidc-provider-arn **** \
    --oidc-token-file **** \
    --ram-role-arn **** \
    --role-session-name ****\
    --region ****