Alibaba Cloud CLI:Konfigurasi kredensial Alibaba Cloud CLI tingkat lanjut (OIDC / CloudSSO / External / CredentialsURI / BearerToken)

Prasyarat

• Anda telah membuat kluster ACK atau ACS dan mengaktifkan fitur RRSA untuk ACK atau ACS.

• Anda telah membuat peran RAM untuk penyedia identitas OIDC, dan kebijakan kepercayaan mengizinkan peran tersebut diasumsikan oleh penyedia identitas OIDC yang dibuat secara otomatis oleh kluster dalam format ack-rrsa-{cluster-id}.

• Anda telah mengaitkan akun layanan pod dengan peran RAM menggunakan RRSA.

Konfigurasikan kredensial

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

Setelah konfigurasi selesai, jalankan perintah aliyun sts get-caller-identity di dalam pod untuk memverifikasi bahwa kredensial telah berlaku.

Penyegaran kredensial

Kluster ACK atau ACS secara otomatis memutar file token OIDC di dalam pod. Alibaba Cloud CLI secara otomatis memanggil API AssumeRoleWithOIDC dari STS dan meneruskan token OIDC terbaru untuk menyegarkan kredensial. Proses ini transparan bagi pengguna.

Prasyarat

• Perusahaan Anda telah menerapkan CloudSSO dan mengonfigurasi direktori pengguna serta konfigurasi akses.

• Pengguna CloudSSO telah ditetapkan setidaknya satu konfigurasi akses.

• Anda telah memperoleh URL login CloudSSO dari administrator Anda. URL biasanya dalam format https://signin-<region>.alibabacloudsso.com/<directory-name>/login. Untuk informasi tentang cara memperoleh URL login pengguna CloudSSO, lihat Dapatkan URL portal pengguna.

Konfigurasikan kredensial

1. Jalankan perintah berikut untuk memulai konfigurasi. Ganti <ProfileName> dengan nama profil kustom, seperti SSOProfile.

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. Saat diminta, masukkan SignIn Url.

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. Pada jendela browser yang terbuka, ikuti petunjuk di layar untuk menyelesaikan login pengguna CloudSSO. Setelah login, tutup jendela browser.

   Catatan

   Jika jendela browser tidak terbuka atau Anda berada di lingkungan terminal saja, salin SignIn url dan User code dari prompt CLI dan tempelkan ke browser untuk menyelesaikan login.

   Berikut adalah contoh prompt:

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. CLI menunjukkan login berhasil dan mencantumkan akun manajemen direktori sumber daya atau akun anggota yang dapat Anda akses. Masukkan angka yang sesuai dengan akun yang ingin Anda akses.

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. CLI mencantumkan konfigurasi akses (konfigurasi izin pengguna) yang dapat Anda gunakan. Masukkan angka yang sesuai dengan konfigurasi akses yang ingin Anda gunakan.

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. Tetapkan wilayah default dan bahasa. Misalnya:

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   Untuk daftar wilayah, lihat Wilayah dan zona ketersediaan. Beberapa produk cloud bersifat spesifik wilayah. Kami menyarankan Anda menetapkan wilayah default ke lokasi tempat sumber daya Anda berada.

7. Terminal menampilkan Configure Done dan pesan selamat datang, yang menunjukkan bahwa konfigurasi berhasil.

Setelah konfigurasi selesai, jalankan perintah aliyun sts get-caller-identity untuk memverifikasi bahwa kredensial valid.

Penyegaran kredensial

Kredensial CloudSSO tidak disegarkan secara otomatis. Setelah kedaluwarsa, Anda perlu menjalankan kembali perintah aliyun configure --mode CloudSSO --profile <ProfileName> untuk mengonfigurasinya ulang.

Prasyarat

• Anda memiliki program atau skrip yang dapat dieksekusi yang mampu mengeluarkan kredensial dalam format JSON yang ditentukan ke output standar (stdout). Format yang diperlukan adalah sebagai berikut:

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  Token STS

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• Program harus keluar dengan kode status 0. Kode keluar bukan nol menunjukkan kegagalan.

Konfigurasikan kredensial

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

Setelah konfigurasi selesai, jalankan perintah aliyun sts get-caller-identity untuk memverifikasi bahwa kredensial valid.

Penyegaran kredensial

Saat menggunakan metode kredensial External, CLI tidak menyimpan cache kredensial atau menyegarkannya secara otomatis. CLI mengeksekusi ulang program eksternal setiap kali kredensial diperlukan. Program eksternal bertanggung jawab untuk mengimplementasikan logika penyegaran.

Prasyarat

Anda memiliki titik akhir HTTP atau HTTPS yang dapat mengembalikan respons kredensial dalam format JSON yang ditentukan dengan kode status HTTP 200. Badan respons harus dalam format JSON berikut:

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

Konfigurasikan kredensial

Penyegaran kredensial

Setelah kredensial kedaluwarsa, CLI secara otomatis mengirim permintaan HTTP GET baru ke titik akhir untuk memperoleh kredensial baru. Proses ini transparan bagi pengguna. Titik akhir HTTP Anda harus mengembalikan token STS yang valid untuk setiap permintaan.

Prasyarat

• Anda telah memperoleh Bearer Token yang diterbitkan oleh layanan target.

• Anda telah menginstal plugin CLI untuk produk target: aliyun plugin install --name <plugin-name>.

Konfigurasikan kredensial

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

Setelah konfigurasi selesai, jalankan perintah berikut untuk memanggil API produk target melalui plugin-nya guna memverifikasi bahwa kredensial valid:

aliyun <command> <sub-command> --profile BearerProfile

Variabel lingkungan

Metode BearerToken mendukung variabel lingkungan berikut untuk mengonfigurasi parameter kredensial: