This tutorial shows you how to create, use, and clean up an AccessKey pair in RAM, and recommends a more secure way to make API calls using an STS token. - Resource Access Management

Esta guía de inicio rápido explica cómo crear, consultar y utilizar un par de AccessKey en Resource Access Management (RAM) para acceder a recursos de Alibaba Cloud mediante Alibaba Cloud CLI.

Importante

Como práctica recomendada de seguridad, evite usar credenciales de larga duración, como un par de AccessKey, para el acceso mediante programación. Para obtener más información, consulte Best practices for programmatic access.

¿Qué es un par de AccessKey?

Un par de AccessKey consta de un AccessKey ID y un AccessKey secret. Estos pares se utilizan principalmente para autenticar una aplicación o servicio cuando realiza llamadas a la API de Alibaba Cloud.

Un par de AccessKey es una credencial de larga duración asociada a un usuario RAM específico. Esta credencial de larga duración representa un alto riesgo de seguridad si se ve comprometida.

Procedimiento

Create an AccessKey pair: Genere un par de AccessKey para un usuario RAM específico.
Use the AccessKey pair to make API calls: Configure Alibaba Cloud CLI para usar el par de AccessKey en llamadas API directas o indirectas.
Clean up resources: Elimine la configuración de credenciales local y, a continuación, deshabilite y elimine el par de AccessKey.

Requisitos previos

Debe haber creado un usuario RAM. De lo contrario, consulte Quick start: Create and grant permissions to a RAM user. No utilice su cuenta de Alibaba Cloud para crear un par de AccessKey.
Se requieren los permisos RAM necesarios para crear y consultar un par de AccessKey. Se recomienda otorgar la directiva del sistema AliyunRAMFullAccess al usuario que realice estas operaciones. Elimine esta directiva después de completar el tutorial.
Debe tener instalado Alibaba Cloud CLI. Para obtener más información, consulte Get started with Alibaba Cloud CLI.

Crear un par de AccessKey

Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, vaya a Identities > Users.
En la página Users, localice el RAM user deseado y haga clic en el nombre de usuario.
En la pestaña Authentication, haga clic en Create AccessKey.

Nota
Un RAM user puede tener un máximo de dos pares de AccessKey. Uno es para uso activo y el segundo debe crearse únicamente cuando sea necesario rotar las credenciales.
En el cuadro de diálogo de confirmación, seleccione CLI, marque la casilla I confirm that it is necessary to create an AccessKey y haga clic en Continue.
Siga las instrucciones en pantalla para completar la autenticación multifactor (MFA).
En el cuadro de diálogo Create AccessKey, haga clic en Download CSV File para guardar el AccessKey ID y el AccessKey secret. A continuación, haga clic en OK.

Importante
El AccessKey secret solo se muestra en el momento de la creación y no se puede recuperar posteriormente. Debe almacenarlo en un lugar seguro.

Usar un par de AccessKey para llamar a las API

Nota

Este tutorial utiliza Alibaba Cloud CLI como ejemplo. Para aprender a usar un par de AccessKey en su código, consulte los siguientes temas:

Acceso directo

Este método es sencillo, pero introduce riesgos como claves codificadas en el código y permisos excesivos, ya que el par de AccessKey se configura directamente en el cliente. No se recomienda este enfoque para entornos de producción.

Otorgue al usuario RAM con el par de AccessKey permisos de solo lectura sobre RAM mediante la asignación de la directiva AliyunRAMReadOnlyAccess.
1. Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, vaya a Identities > Users.
2. Localice el RAM user deseado y haga clic en Add Permissions en la columna Actions.
3. En el panel Add Permissions, busque y seleccione la directiva del sistema AliyunRAMReadOnlyAccess, y haga clic en OK.
4. Regrese a la página Users y haga clic en el nombre de usuario del RAM user correspondiente. En la pestaña Permissions > Individual, compruebe que la directiva AliyunRAMReadOnlyAccess aparezca en la lista.

Abra su terminal local y ejecute el siguiente comando para configurar sus credenciales de forma interactiva.
```
aliyun configure --profile AkProfile
```

Cuando se le solicite, introduzca el AccessKey ID y el AccessKey secret obtenidos en el paso Create an AccessKey pair. A continuación, establezca la región y el idioma predeterminados.

Configuring profile 'AkProfile' in 'AK' authenticate mode...
Access Key Id []: <yourAccessKeyID>
Access Key Secret []: <yourAccessKeySecret>
Default Region Id []: cn-shanghai
Default Output Format [json]: json (Only support json)
Default Language [zh|en] en: en
Saving profile[AkProfile] ...Done.

Si el par de AccessKey y las demás configuraciones son correctos, la terminal mostrará un mensaje de éxito. Si ocurre un error, delete the cached Alibaba Cloud CLI credential configuration, verifique su configuración y vuelva a ejecutar el comando desde Step 2.

Configure Done!!!
..............888888888888888888888 ........=8888888888888888888D=..............
...........88888888888888888888888 ..........D8888888888888888888888I...........
.........,8888888888888ZI: ...........................=Z88D8888888888D..........
.........+88888888 ..........................................88888888D..........
.........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
.........+88888888 ............. ************* ..............O8888888D..........
.........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
.........+88888888...........................................88888888D..........
..........D888888888888DO+. ..........................?ND888888888888D..........
...........O8888888888888888888888...........D8888888888888888888888=...........
............ .:D8888888888888888888.........78888888888888888888O ..............

Ejecute el siguiente comando para probar la llamada a la API.

aliyun ram ListUsers --profile AkProfile

Si la configuración es correcta, el comando devolverá una lista de usuarios RAM. La salida será similar a la siguiente:

{
  "IsTruncated": false,
  "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
  "Users": {
    "User": [
      {
        "Comments": "",
        "CreateDate": "2025-10-29T02:47:52Z",
        "DisplayName": "username",
        "UpdateDate": "2025-10-29T02:47:52Z",
        "UserId": "20376656170607****",
        "UserName": "username"
      },
      ...
    ]
  }
}

Acceso indirecto

Este método utiliza el par de AccessKey de larga duración para obtener un token STS temporal con el cual realizar llamadas a la API. Aunque la configuración es más compleja, este enfoque es más seguro porque reduce el riesgo de exponer la credencial de larga duración y permite una gestión dinámica de permisos mediante roles.

Otorgue al usuario RAM con el par de AccessKey permiso para llamar a la operación AssumeRole de STS mediante la asignación de la directiva AliyunSTSAssumeRoleAccess.
1. Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, vaya a Identities > Users.
2. Localice el RAM user deseado y haga clic en Add Permissions en la columna Actions.
3. En el panel Add Permissions, busque y seleccione la directiva del sistema AliyunSTSAssumeRoleAccess, y haga clic en OK.
4. Regrese a la página Users y haga clic en el nombre de usuario del RAM user correspondiente. En la pestaña Permissions > Individual, compruebe que la directiva AliyunSTSAssumeRoleAccess aparezca en la lista.
Cree un rol RAM y obtenga su ARN de rol.
1. En la consola de RAM, vaya a Identities > Roles en el panel de navegación izquierdo.
2. En la página Roles, haga clic en Create Role.
3. En la página Create Role, seleccione Cloud Account para Principal Type, especifique la cuenta de Alibaba Cloud y haga clic en OK.
4. En el panel Create Role, introduzca un nombre de rol, como cli-test-role, y haga clic en OK.
5. En la página de detalles del rol, localice el ARN en la sección Basic Information. Haga clic en Copy y guarde el ARN para uso posterior.
Otorgue al rol RAM permisos de solo lectura sobre RAM mediante la asignación de la directiva AliyunRAMReadOnlyAccess.

Vaya a la página Identities > Roles, haga clic en Add Permissions en la columna Actions del rol y agregue el permiso como se describe en Step 1.
Abra su terminal local y ejecute el siguiente comando para configurar sus credenciales de forma interactiva.
```
aliyun configure --profile RamRoleArnProfile --mode RamRoleArn
```

Cuando se le solicite, introduzca el AccessKey ID y el AccessKey secret del paso Create an AccessKey pair, así como el ARN de rol de Step 2. Para otros parámetros, consulte el siguiente ejemplo.

Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
Access Key Id []: <yourAccessKeyID>
Access Key Secret []: <yourAccessKeySecret>
Sts Region []: cn-shanghai
Ram Role Arn []: acs:ram::012345678910****:role/cli-test-role
Role Session Name []: cli-test-role
External ID []: abcd1234
Expired Seconds [900]: 900
Default Region Id []: cn-shanghai
Default Output Format [json]: json (Only support json)
Default Language [zh|en] en: en
Saving profile[RamRoleArnProfile] ...Done.

Configure Done!!!
..............888888888888888888888 ........=8888888888888888888D=..............
...........88888888888888888888888 ..........D8888888888888888888888I...........
.........,8888888888888ZI: ...........................=Z88D8888888888D..........
.........+88888888 ..........................................88888888D..........
.........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
.........+88888888 ............. ************* ..............O8888888D..........
.........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
.........+88888888...........................................88888888D..........
..........D888888888888DO+. ..........................?ND888888888888D..........
...........O8888888888888888888888...........D8888888888888888888888=...........
............ .:D8888888888888888888.........78888888888888888888O ..............

Ejecute el siguiente comando para probar la llamada a la API.

aliyun ram ListUsers --profile RamRoleArnProfile

Si la configuración es correcta, el comando devolverá una lista de usuarios RAM. La salida será similar a la siguiente:

{
  "IsTruncated": false,
  "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
  "Users": {
    "User": [
      {
        "Comments": "",
        "CreateDate": "2025-10-29T02:47:52Z",
        "DisplayName": "username",
        "UpdateDate": "2025-10-29T02:47:52Z",
        "UserId": "20376656170607****",
        "UserName": "username"
      },
      ...
    ]
  }
}

Limpieza de recursos

Eliminar credenciales de CLI almacenadas en caché

Ejecute el comando correspondiente para eliminar la configuración de credenciales almacenada en caché.

Si siguió los pasos en Use an AccessKey pair directly, ejecute el siguiente comando:
```
aliyun configure delete --profile AkProfile 
```
Si siguió los pasos en Use an AccessKey pair indirectly, ejecute el siguiente comando:
```
aliyun configure delete --profile RamRoleArnProfile
```

Deshabilitar y eliminar el par de AccessKey

Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, vaya a Identities > Users.
Localice el RAM user para el cual creó el par de AccessKey y haga clic en el nombre de usuario.
Deshabilitar el par de AccessKey: En la pestaña Authentication, localice el par de AccessKey deseado y haga clic en Disable en la columna Actions. En el cuadro de diálogo Disable, haga clic en Disable.
Mover el par de AccessKey a la papelera de reciclaje: Haga clic en Delete en la columna Actions del par de AccessKey correspondiente. En el cuadro de diálogo de confirmación, introduzca el AccessKey ID y haga clic en Move to Recycle Bin.
Eliminar permanentemente el par de AccessKey: En la página de detalles del usuario, dentro de la sección AccessKey Pair Recycle Bin, localice el par de AccessKey deseado y haga clic en Delete en la columna Actions. En el cuadro de diálogo de confirmación, introduzca el AccessKey ID y haga clic en Delete.

Referencias

Para obtener más información, consulte los siguientes temas: