Alibaba Cloud CLI:Configure advanced Alibaba Cloud CLI credentials (OIDC / CloudSSO / External / CredentialsURI / BearerToken)

Requisitos previos

• Ha creado un clúster de ACK o ACS y ha habilitado la función RRSA para ACK o ACS.

• Ha created a RAM role for the OIDC identity provider, y la directiva de confianza permite que el proveedor de identidad OIDC creado automáticamente por el clúster asuma el rol, con el formato ack-rrsa-{cluster-id}.

• Ha asociado la cuenta de servicio del pod con el rol de RAM mediante RRSA.

Configurar la credencial

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

Ejecute aliyun sts get-caller-identity en el pod para verificar las credenciales.

Renovación de credenciales

El clúster rota automáticamente el archivo de token OIDC en el pod. La CLI llama a la API AssumeRoleWithOIDC de STS con el token más reciente para renovar la credencial. No se requiere ninguna acción por parte del usuario.

Requisitos previos

• Su empresa ha implementado CloudSSO y ha configurado un directorio de usuarios y configuraciones de acceso.

• El usuario de CloudSSO tiene asignada como mínimo una configuración de acceso.

• Dispone de la URL de inicio de sesión de CloudSSO proporcionada por su administrador, generalmente con el formato https://signin-<region>.alibabacloudsso.com/<directory-name>/login. Obtain the user portal URL.

Configurar la credencial

1. Ejecute el siguiente comando para iniciar la configuración. Reemplace <ProfileName> con un nombre de perfil personalizado, como SSOProfile.

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. Cuando se le solicite, introduzca la SignIn Url.

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. Siga las instrucciones del navegador para completar el inicio de sesión en CloudSSO. Después de iniciar sesión, cierre el navegador.

   Nota

   Si no se abre ningún navegador, copie la SignIn url y el User code de la salida de la CLI y péquelos en un navegador.

   A continuación se muestra un ejemplo de mensaje del sistema:

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. Tras iniciar sesión correctamente, la CLI muestra las cuentas a las que puede acceder. Introduzca el número de la cuenta de destino.

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. La CLI enumera las access configurations disponibles. Introduzca el número de la configuración que desea utilizar.

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. Establezca la región y el idioma predeterminados. Por ejemplo:

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   Establezca la región predeterminada según la ubicación de sus recursos. Las regiones disponibles se enumeran en Regions and availability zones.

7. La terminal muestra Configure Done y un mensaje de bienvenida, lo que indica que la operación se completó correctamente.

Ejecute aliyun sts get-caller-identity para verificar la credencial.

Renovación de credenciales

Las credenciales de CloudSSO no se renuevan automáticamente. Tras su caducidad, ejecute nuevamente aliyun configure --mode CloudSSO --profile <ProfileName> para volver a configurarlas.

Requisitos previos

• Dispone de un programa o script que genera una credencial en la salida estándar con el siguiente formato JSON:

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  STS token

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• El programa debe finalizar con el código de estado 0.

Configurar la credencial

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

Ejecute aliyun sts get-caller-identity para verificar la credencial.

Renovación de credenciales

La CLI no almacena en caché ni renueva las credenciales External. Vuelve a ejecutar el programa cada vez que necesita una credencial.

Requisitos previos

Debe contar con un endpoint HTTP(S) que devuelva credenciales con un código HTTP 200 en el siguiente formato JSON:

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

Configurar la credencial

Renovación de credenciales

Cuando la credencial caduca, la CLI envía automáticamente una nueva solicitud GET al endpoint. Su endpoint debe devolver un token de STS válido para cada solicitud.

Requisitos previos

• Dispone de un Bearer Token del servicio de destino.

• Ha instalado el plugin de la CLI para el producto de destino: aliyun plugin install --name <plugin-name>.

Configurar la credencial

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

Verifique la credencial llamando a una API a través del plugin del producto:

aliyun <command> <sub-command> --profile BearerProfile

Variables de entorno

El método BearerToken admite las siguientes variables de entorno:

aliyun configure delete --profile <ProfileName>