La fonctionnalité Credential Management d'Application Load Balancer (ALB) Extensible Edition vous permet de créer et de gérer de manière centralisée les identifiants sortants, stockés en toute sécurité grâce au chiffrement KMS. Lorsque vous ajoutez un service backend, tel qu'un service d'IA ou un service MCP, il vous suffit de référencer ces identifiants préconfigurés. ALB les inclut alors automatiquement lors du transfert des requêtes pour s'authentifier auprès du service backend.
Remarque : Credential Management gère l'authentification sortante (d'ALB vers les services backends). Pour l'authentification entrante (des clients vers ALB), utilisez le composant d'authentification par clé API ou le composant d'authentification JWT de la bibliothèque de composants.
Prérequis
Avant de commencer, assurez-vous d'avoir :
Une instance ALB Extensible Edition. ALB Extensible Edition est actuellement en aperçu public. Pour plus d'informations, consultez la rubrique Aperçu public d'ALB Extensible Edition.
(Facultatif) Une instance KMS et une clé principale si vous souhaitez utiliser le chiffrement géré par KMS.
Configurer la gestion des identifiants
Étape 1 : Créer un identifiant
Lorsque vous utilisez Credential Management pour la première fois, le système crée automatiquement le rôle lié au service AliyunServiceRoleForAlbAccessKMS afin d'autoriser ALB à accéder à KMS.
Accédez à la page Credential Management de la console ALB et sélectionnez la région où se trouve votre groupe de serveurs.
Cliquez sur Create Credential.
-
Configurez les paramètres suivants :
Paramètre
Description
Credential Type
La valeur par défaut est API Key. Saisissez votre clé API. Pour utiliser le type AccessKey (format AK/SK Alibaba Cloud uniquement), contactez votre gestionnaire de compte.
Credential Management
Sélectionnez une méthode de chiffrement :
-
Default Encryption : utilise des clés gérées par le système. Gratuit. Convient à la plupart des scénarios.
-
KMS-Managed : utilise vos propres clés KMS. Adapté lorsque vous avez besoin d'un contrôle total sur le cycle de vie des clés. Des frais KMS s'appliquent. Vous devez sélectionner une instance KMS disposant d'au moins un secret disponible et d'une clé maître.
-
-
Cliquez sur Create.
L'identifiant apparaît dans la liste Credential Management.
Étape 2 : Référencer l'identifiant dans les services backends
Associez les identifiants à des services backends spécifiques, tels que les services d'IA ou les services MCP. ALB inclut automatiquement les identifiants dans les requêtes adressées à ces services.
Référencement dans un service d'IA
Accédez à la page Server Groups de la console ALB et cliquez sur l'ID du groupe de serveurs d'IA cible pour ouvrir la page des détails.
Cliquez sur l'onglet Backend Servers puis sur Add AI Service.
Sélectionnez le Model provider. Le champ Endpoint est renseigné automatiquement. Ensuite, définissez le paramètre Identity Credential en choisissant un identifiant dans la liste déroulante.
Développez la section Advanced Settings pour visualiser le mode de transmission de l'identifiant. Le paramètre Credential Location est fixé sur HTTP Header, le paramètre Credential Parameter Name est fixé sur
Authorizationet le paramètre Credential Prefix est fixé surBearer. Ces valeurs ne peuvent pas être modifiées.Cliquez sur OK.
Pour la procédure complète d'ajout d'un service d'IA, consultez la rubrique Unifier l'accès à plusieurs services LLM .
Référencement dans un service MCP
Accédez à la page Server Groups de la console ALB et cliquez sur l'ID du groupe de serveurs MCP cible pour ouvrir la page des détails.
Cliquez sur l'onglet Backend Servers puis sur Add MCP Service.
-
Configurez le service :
Service Type : sélectionnez REST API.
OpenAPI Configuration : saisissez les informations de l'API du service backend.
-
Dans la section Outbound Authentication , configurez l'identifiant :
Paramètre
Description
Authentication Method
Sélectionnez API Key, puis choisissez un identifiant dans la liste déroulante.
Credential Location (développez Advanced Settings)
Spécifiez le mode de transmission de l'identifiant :
-
HTTP Header (par défaut) : ajoute l'identifiant aux en-têtes HTTP. Personnalisez le paramètre Credential Parameter Name (par défaut :
Authorization) et le paramètre Credential Prefix (par défaut :Bearer). -
Query String : ajoute l'identifiant aux paramètres de requête de l'URL. Personnalisez le paramètre Credential Parameter Name.
-
Cliquez sur OK.
Résultat : ALB inclut automatiquement l'identifiant spécifié dans toutes les requêtes adressées au service backend. Le service backend valide l'identifiant pour vérifier la source de la requête.
Étape 3 : Gérer les identifiants
Après avoir créé les identifiants, gérez-les depuis la page Credential Management de la console ALB :
Modify : mettez à jour les données de l'identifiant ou la méthode de chiffrement.
Delete : supprimez les identifiants qui ne sont plus nécessaires. Supprimez toutes les références avant la suppression.
Remarque : Lorsque vous mettez à jour les données d'un identifiant, tous les services backends qui y font référence utilisent immédiatement le nouvel identifiant. Aucune action supplémentaire n'est requise.
Facturation
|
Élément |
Règle de facturation |
|
Aperçu public |
Les instances ALB Extended Edition et la fonctionnalité Credential Management sont gratuites. Des frais de transfert de données Internet s'appliquent si vos services utilisent un accès par réseau public. |
|
Après la disponibilité générale |
La tarification standard s'applique. Les détails tarifaires seront annoncés ultérieurement. |
|
Identifiants gérés par KMS |
Des frais de service KMS s'appliquent. Pour plus d'informations, consultez la rubrique Facturation. |
Quotas
|
Quota |
Description |
Valeur par défaut |
|
alb_quota_identities_num |
Nombre maximal d'identifiants par région |
100 |
Pour augmenter les quotas, contactez votre gestionnaire de compte.
FAQ
Quelle est la différence entre Credential Management et les composants d'authentification ?
Credential Management (cette fonctionnalité) : gère l'authentification sortante, c'est-à-dire les identifiants qu'ALB envoie aux services backends.
Composants d'authentification (clé API, JWT) : gèrent l'authentification entrante, c'est-à-dire les identifiants que les clients envoient à ALB.
Exemple de flux :
Client → ALB : le composant d'authentification par clé API valide les identifiants du client.
ALB → Backend : Credential Management fournit les identifiants d'ALB au backend.