Resource Access Management:Démarrage rapide : Créer et utiliser une paire de clés d'accès

Accès direct

Cette méthode est simple, mais elle introduit des risques tels que des clés codées en dur et des autorisations excessives, car la paire de clés d'accès est configurée directement sur le client. Cette approche n'est pas recommandée pour les environnements de production.

1. Accordez à l'utilisateur RAM disposant de la paire de clés d'accès des autorisations en lecture seule sur RAM en attachant la stratégie AliyunRAMReadOnlyAccess.

   1. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez Identities > Users.

   2. Repérez l'RAM user cible et cliquez sur Add Permissions dans la colonne Actions.

   3. Dans le panneau Add Permissions, recherchez et sélectionnez la stratégie système AliyunRAMReadOnlyAccess, puis cliquez sur OK.

   4. Revenez à la page Users et cliquez sur le nom d'utilisateur de l'RAM user cible. Sous l'onglet Permissions > Individual, vérifiez que la stratégie AliyunRAMReadOnlyAccess figure dans la liste.

2. Ouvrez votre terminal local et exécutez la commande suivante pour configurer vos identifiants de manière interactive.

   aliyun configure --profile AkProfile

3. Aux invites, saisissez l'AccessKey ID et l'AccessKey secret obtenus lors de l'étape Créer une paire de clés d'accès. Définissez ensuite la région par défaut et la langue.

   Configuring profile 'AkProfile' in 'AK' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[AkProfile] ...Done.

4. Si la paire de clés d'accès et les autres configurations sont correctes, le terminal affiche un message de succès. En cas d'erreur, supprimez la configuration des identifiants mise en cache par la CLI Alibaba Cloud, vérifiez vos paramètres, puis relancez la commande à partir de l'étape 2.

   Configure Done!!!
   ..............888888888888888888888 ........=8888888888888888888D=..............
   ...........88888888888888888888888 ..........D8888888888888888888888I...........
   .........,8888888888888ZI: ...........................=Z88D8888888888D..........
   .........+88888888 ..........................................88888888D..........
   .........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
   .........+88888888 ............. ************* ..............O8888888D..........
   .........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
   .........+88888888...........................................88888888D..........
   ..........D888888888888DO+. ..........................?ND888888888888D..........
   ...........O8888888888888888888888...........D8888888888888888888888=...........
   ............ .:D8888888888888888888.........78888888888888888888O ..............

5. Exécutez la commande suivante pour tester l'appel API.

   aliyun ram ListUsers --profile AkProfile

   Si la configuration a réussi, la commande renvoie une liste d'utilisateurs RAM. Le résultat ressemble à ce qui suit :

   {
     "IsTruncated": false,
     "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
     "Users": {
       "User": [
         {
           "Comments": "",
           "CreateDate": "2025-10-29T02:47:52Z",
           "DisplayName": "username",
           "UpdateDate": "2025-10-29T02:47:52Z",
           "UserId": "20376656170607****",
           "UserName": "username"
         },
         ...
       ]
     }
   }

Accès indirect

Cette méthode utilise la paire de clés d'accès à long terme pour obtenir un jeton STS temporaire permettant d'effectuer des appels API. Bien que la configuration soit plus complexe, cette approche est plus sécurisée car elle réduit le risque d'exposition de l'identifiant à long terme et permet une gestion dynamique des autorisations via des rôles.

1. Accordez à l'utilisateur RAM disposant de la paire de clés d'accès l'autorisation d'appeler l'opération STS AssumeRole en attachant la stratégie AliyunSTSAssumeRoleAccess.

   1. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, choisissez Identities > Users.

   2. Repérez l'RAM user cible et cliquez sur Add Permissions dans la colonne Actions.

   3. Dans le panneau Add Permissions, recherchez et sélectionnez la stratégie système AliyunSTSAssumeRoleAccess, puis cliquez sur OK.

   4. Revenez à la page Users et cliquez sur le nom d'utilisateur de l'RAM user cible. Sous l'onglet Permissions > Individual, vérifiez que la stratégie AliyunSTSAssumeRoleAccess figure dans la liste.

2. Créez un rôle RAM et obtenez son ARN de rôle.

   1. Dans la console RAM, choisissez Identities > Roles dans le volet de navigation de gauche.

   2. Sur la page Roles, cliquez sur Create Role.

   3. Sur la page Create Role, sélectionnez Cloud Account pour le champ Principal Type, spécifiez le compte Alibaba Cloud, puis cliquez sur OK.

   4. Dans le panneau Create Role, saisissez un nom de rôle, par exemple cli-test-role, et cliquez sur OK.

   5. Sur la page des détails du rôle, repérez l'ARN dans la section Basic Information. Cliquez sur Copy et enregistrez l'ARN pour une utilisation ultérieure.

3. Accordez au rôle RAM des autorisations en lecture seule sur RAM en attachant la stratégie AliyunRAMReadOnlyAccess.

   Accédez à la page Identities > Roles, cliquez sur Add Permissions dans la colonne Actions pour le rôle, et ajoutez l'autorisation comme décrit à l'étape 1.

4. Ouvrez votre terminal local et exécutez la commande suivante pour configurer vos identifiants de manière interactive.

   aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

5. Aux invites, saisissez l'AccessKey ID et l'AccessKey secret obtenus lors de l'étape Créer une paire de clés d'accès, ainsi que l'ARN du rôle obtenu à l'étape 2. Pour les autres paramètres, reportez-vous à l'exemple suivant.

   Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/cli-test-role
   Role Session Name []: cli-test-role
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[RamRoleArnProfile] ...Done.

6. Si la paire de clés d'accès et les autres configurations sont correctes, le terminal affiche un message de succès. En cas d'erreur, supprimez la configuration des identifiants mise en cache par la CLI Alibaba Cloud, vérifiez vos paramètres, puis relancez la commande à partir de l'étape 4.

   Configure Done!!!
   ..............888888888888888888888 ........=8888888888888888888D=..............
   ...........88888888888888888888888 ..........D8888888888888888888888I...........
   .........,8888888888888ZI: ...........................=Z88D8888888888D..........
   .........+88888888 ..........................................88888888D..........
   .........+88888888 .......Welcome to use Alibaba Cloud.......O8888888D..........
   .........+88888888 ............. ************* ..............O8888888D..........
   .........+88888888 .... Command Line Interface(Reloaded) ....O8888888D..........
   .........+88888888...........................................88888888D..........
   ..........D888888888888DO+. ..........................?ND888888888888D..........
   ...........O8888888888888888888888...........D8888888888888888888888=...........
   ............ .:D8888888888888888888.........78888888888888888888O ..............

7. Exécutez la commande suivante pour tester l'appel API.

   aliyun ram ListUsers --profile RamRoleArnProfile

   Si la configuration a réussi, la commande renvoie une liste d'utilisateurs RAM. Le résultat ressemble à ce qui suit :

   {
     "IsTruncated": false,
     "RequestId": "B3CDEF9E-A3F4-58B0-80BE-54576991****",
     "Users": {
       "User": [
         {
           "Comments": "",
           "CreateDate": "2025-10-29T02:47:52Z",
           "DisplayName": "username",
           "UpdateDate": "2025-10-29T02:47:52Z",
           "UserId": "20376656170607****",
           "UserName": "username"
         },
         ...
       ]
     }
   }