Resource Access Management:Best practices for accessing Alibaba Cloud OpenAPI

Utiliser les rôles RAM pour les comptes de service (RRSA)

Prérequis

• Cette méthode s'applique aux services cloud compatibles avec RAM.

• Version du cluster : Kubernetes 1.22 ou ultérieure, sur un cluster géré ACK (Basic ou Pro), un cluster ACK Serverless (Basic ou Pro) ou un cluster ACK Edge (Pro uniquement).

• Le SDK Alibaba Cloud V2.0 est utilisé.

• Les SDK personnalisés pour les produits de passerelle auto-gérés ne peuvent pas être utilisés.

Fonctionnement

Procédure

• Activer RRSA pour votre cluster ACK.

• Utiliser RRSA dans votre cluster ACK.

Exemples de code

Alibaba Cloud SDK V2.0 prend en charge l'authentification par jeton OIDC RRSA. Tout SDK de service cloud construit sur V2.0 et prenant en charge les jetons STS prend également en charge RRSA.

Utiliser un rôle RAM d'instance

Prérequis

• Cette méthode s'applique aux services cloud compatibles avec RAM.

• Le SDK Alibaba Cloud V2.0 est utilisé.

• Les SDK personnalisés pour les produits de passerelle auto-gérés ne peuvent pas être utilisés.

Fonctionnement

Vous pouvez attacher un rôle Resource Access Management (RAM) d'instance à une instance Elastic Compute Service (ECS). L'instance ECS peut alors utiliser l'identifiant temporaire Security Token Service (STS) du rôle RAM d'instance pour accéder aux API d'autres services Alibaba Cloud. L'identifiant temporaire STS est mis à jour périodiquement. Cela garantit la sécurité de votre paire AccessKey et met en œuvre un contrôle d'accès et une gestion des autorisations granulaires via RAM.

Flux de travail :

1. L'application récupère un jeton STS en accédant aux métadonnées d'instance ECS.

2. L'application utilise le jeton STS pour accéder aux ressources cloud. Qu'est-ce que STS ?.

Procédure

Attribuez un rôle RAM à une instance ECS. Rôles RAM d'instance.

Exemples de code

Alibaba Cloud Credentials simplifie l'utilisation des rôles RAM d'instance. Ces exemples appellent l'opération DescribeRegions d'ECS avec un rôle RAM d'instance.

Assumption de rôle en chaîne inter-comptes

Si votre application sur une instance ECS doit accéder à des ressources dans un autre compte Alibaba Cloud, vous pouvez utiliser l'assumption de rôle en chaîne inter-comptes pour obtenir un accès sans stocker de paire AccessKey.

Fonctionnement

L'instance ECS obtient d'abord des identifiants temporaires pour son propre rôle RAM d'instance à partir des métadonnées d'instance. Elle utilise ensuite ces identifiants pour appeler sts:AssumeRole afin d'assumer un rôle RAM dans le compte de destination et d'obtenir un jeton STS pour ce compte. Ce processus est appelé assumption de rôle en chaîne.

Procédure

1. Dans le compte de destination, créez un rôle RAM. Définissez Principal.RAM dans la politique de confiance du rôle sur le nom de ressource Alibaba Cloud (ARN) du rôle RAM d'instance dans le compte source, par exemple acs:ram::<source-account-id>:role/<instance-role-name>. Accordez à ce rôle les autorisations nécessaires à l'application.

2. Sur le rôle RAM d'instance dans le compte source, attachez une politique d'autorisation accordant l'autorisation sts:AssumeRole . Vous pouvez utiliser la politique système AliyunSTSAssumeRoleAccess.

3. Sur l'instance ECS, utilisez l'outil Alibaba Cloud Credentials pour effectuer l'assumption de rôle en chaîne. L'outil obtient d'abord les identifiants temporaires du rôle RAM d'instance à partir des métadonnées d'instance. Il utilise ensuite ces identifiants pour appeler sts:AssumeRole afin d'assumer le rôle RAM dans le compte de destination et d'obtenir un jeton STS inter-comptes.

Jeton STS pour le développement et le débogage

Scénario

Pour le personnel de développement, d'exploitation et de produit ayant besoin d'identifiants pour l'O&M, la gestion ou le débogage, utilisez le SSO basé sur les rôles pour assumer un rôle RAM et obtenir un jeton STS au lieu d'une paire AccessKey permanente.

Procédure

• Pour les scénarios mono-compte, nous vous recommandons de configurer le SSO de rôle basé sur SAML au sein du compte cloud et d'attribuer des rôles RAM aux employés en fonction de leurs fonctions. Les employés peuvent ensuite utiliser l'outil saml2alibabacloud en ligne de commande pour obtenir un jeton STS après s'être authentifiés auprès du fournisseur d'identité (IdP).

• Pour les scénarios multi-comptes, nous vous recommandons d'utiliser CloudSSO pour configurer le single sign-on pour plusieurs comptes. Après configuration, les employés peuvent utiliser la CLI pour se connecter à CloudSSO et accéder aux ressources Alibaba Cloud.

Utiliser un jeton STS dans Function Compute

Scénario

Au lieu de coder en dur la paire AccessKey d'un utilisateur RAM dans une fonction FC, associez la fonction à un rôle RAM. L'application utilise alors un jeton STS pour accéder aux ressources cloud, évitant ainsi la fuite d'identifiants permanents.

Architecture de la solution

Les rôles de fonction FC gèrent les identifiants temporaires au moment de l'exécution, évitant l'exposition à long terme des paires AccessKey. Configurez le rôle et les autorisations une seule fois ; les fonctions obtiennent automatiquement des identifiants temporaires.

Un administrateur crée un rôle approuvé par Function Compute et lui accorde les autorisations requises (1), puis associe le rôle à la fonction FC (2). L'application récupère un jeton STS à partir du contexte de la fonction (3). Durant ce processus, Function Compute appelle AssumeRole pour obtenir le jeton STS auprès de RAM/STS (i). L'application utilise le jeton STS pour appeler l'API de la ressource cloud cible (4), et l'API de la ressource renvoie le résultat à l'application cliente.

Procédure

Accorder à Function Compute des autorisations pour accéder à d'autres services Alibaba Cloud.

Configurer des variables d'environnement système

Procédure

Configurez les variables d'environnement ALIBABA_CLOUD_ACCESS_KEY_ID et ALIBABA_CLOUD_ACCESS_KEY_SECRET.

<ACCESS_KEY_ID>

Exemples de code du SDK Alibaba Cloud

Les SDK Alibaba Cloud créent un identifiant par défaut à partir des variables d'environnement ALIBABA_CLOUD_ACCESS_KEY_ID et ALIBABA_CLOUD_ACCESS_KEY_SECRET et l'utilisent pour authentifier automatiquement les requêtes. Ces exemples appellent l'opération DescribeRegions d'ECS.

Exemple de code générique

Si vous ne pouvez pas utiliser les SDK Alibaba Cloud (par exemple, des SDK personnalisés pour des produits de passerelle auto-gérés), chargez directement les variables d'environnement. Exemple en Java :

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        // Specify the type of credential you want to use.
        config.setType("access_key");
        // The AccessKeyId of your RAM user.
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // The AccessKeySecret of your RAM user.
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}