Elastic Compute Service:Instal Workbench CLI dan Konfigurasikan Kredensial

Batasan

• Sistem operasi instans target: Workbench CLI hanya mendukung koneksi ke instans Linux (melalui protokol SSH) dan tidak mendukung koneksi ke instans Windows.

• Sistem operasi mesin lokal: Workbench CLI dapat dijalankan di Linux, macOS (amd64 / arm64), dan Windows (amd64).

• Konektivitas jaringan: Mesin lokal harus dapat mengakses *.aliyuncs.com dan titik akhir WebSocket backend Workbench.

Langkah 1: Instal Workbench CLI

Pilih perintah instalasi berdasarkan sistem operasi mesin lokal Anda. Skrip instalasi secara otomatis mendeteksi arsitektur (amd64 / arm64), mengunduh biner dari CDN OSS, memverifikasi checksum SHA256-nya, dan menginstalnya ke jalur default sistem.

curl -fsSL https://workbench-cli.oss-cn-hangzhou.aliyuncs.com/install.sh | bash

irm https://workbench-cli.oss-cn-hangzhou.aliyuncs.com/install.ps1 | iex

workbench version

Langkah 2: Siapkan AccessKey dengan Izin Minimum untuk Workbench CLI

Workbench CLI memanggil API Alibaba Cloud menggunakan AccessKey. Tujuan langkah ini adalah mendapatkan AccessKey yang hanya memiliki izin minimum yang diperlukan oleh Workbench CLI, sehingga Anda dapat mengonfigurasikannya di CLI lokal pada langkah berikutnya. Proses yang direkomendasikan adalah: buat RAM user → berikan izin minimum → buat AccessKey untuk RAM user tersebut.

1. Buat RAM user. Login ke Konsol RAM, buka halaman Identities > Users, lalu klik Create User. Di halaman pembuatan, masukkan Logon Name dan Display Name, lalu klik OK.

   Jangan buat AccessKey pada tahap ini. AccessKey akan dibuat setelah izin diberikan di Langkah 4.

2. Buat kebijakan izin kustom. Di halaman Permissions > Policies Konsol RAM, klik Create Policy, alihkan ke mode Script mode/JSON, tempel JSON berikut, lalu klik OK.

     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ecs-workbench:*"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "ecs:DescribeInstances"
   
   
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": "ram:CreateServiceLinkedRole",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "ram:ServiceName": "workbench.ecs.aliyuncs.com"
           }
         }
       }
     ]{
   

   Tujuan setiap Action dalam kebijakan tersebut adalah sebagai berikut:

   Action	Tujuan
   ecs:DescribeInstances	Mengizinkan workbench list ecs untuk mengkueri daftar instans.
   ecs:DescribeCloudAssistantStatus	Memeriksa status agen Cloud Assistant pada instans target.
   ecs:StartTerminalSession	Membuat sesi terminal dengan instans ECS.
   ecs-workbench:LoginECSInstance	Mengaktifkan login tanpa password melalui saluran Workbench (digunakan oleh connect, exec, upload, dan download).
   ecs-workbench:ChatMessages	Izin yang diperlukan oleh asisten agen AI dalam sesi (mode /agent).
   ecs-workbench:EndSessions	Menutup sesi Workbench (dipanggil oleh session close dan selama pembersihan sesi otomatis).
   ram:CreateServiceLinkedRole	Membuat peran terkait layanan Workbench saat pertama kali digunakan. Condition membatasi pembuatan hanya untuk peran terkait layanan dari layanan workbench.ecs.aliyuncs.com.

   Secara default, kebijakan ini memberikan akses ke semua instans. Untuk mempersempitnya ke instans tertentu, terapkan ARN instans hanya pada action yang mendukung otorisasi tingkat instans (perhatikan bahwa dua kelompok action menggunakan format ARN yang berbeda). Pisahkan menjadi blok Statement terpisah dan ubah Resource:

   // ecs-workbench:LoginECSInstance
   "Resource": "acs:ecs:<region>:<account-id>:ecs/<instance-id>"
   
   // ecs:DescribeInstances / DescribeCloudAssistantStatus / StartTerminalSession
   "Resource": "acs:ecs:<region>:<account-id>:instance/<instance-id>"

   Catatan

   ecs-workbench:ChatMessages dan ram:CreateServiceLinkedRole tidak mendukung pembatasan berdasarkan ARN instans. Pertahankan "Resource": "*" untuk keduanya.

3. Berikan kebijakan kepada RAM user. Buka halaman detail RAM user yang dibuat di Langkah 1, alihkan ke tab Permissions, klik Grant Permission, pilih kebijakan kustom yang dibuat pada langkah sebelumnya, lalu selesaikan otorisasi. Untuk informasi lebih lanjut, lihat Berikan izin kepada RAM user.

4. Buat AccessKey untuk RAM user. Di tab Credentials > AccessKey halaman detail RAM user, klik Create AccessKey. Di dialog yang muncul, pilih Use AccessKey in CLI, pilih I confirm that I must create an AccessKey, lalu klik Continue to create. Untuk informasi lebih lanjut, lihat Buat Pasangan AccessKey.

   Penting

   Secret AccessKey hanya ditampilkan sekali saat dibuat dan tidak dapat dilihat lagi setelah halaman ditutup. Segera simpan ID AccessKey dan Secret ke password manager atau key vault. Jika Anda kehilangannya, satu-satunya cara adalah membuat AccessKey baru.

   AccessKey merupakan kredensial jangka panjang. Jika bocor, dapat disalahgunakan dalam jangka waktu lama. Di lingkungan produksi, kami merekomendasikan agar Anda segera beralih ke mode kredensial yang menyegarkan otomatis seperti RamRoleArn setelah menyelesaikan konfigurasi di Langkah 3. Untuk informasi lebih lanjut, lihat bagian Metode konfigurasi lainnya dokumen ini.

Langkah 3: Konfigurasikan AccessKey di CLI Lokal

Jalankan perintah berikut, lalu masukkan ID AccessKey dan Secret AccessKey yang diperoleh di Langkah 2 saat diminta.

workbench config

Setelah konfigurasi selesai, kredensial disimpan di ~/.workbench/config.json, dan izin file secara otomatis diatur ke 0600 (hanya dapat dibaca dan ditulis oleh pengguna saat ini). Berikut contoh isi file tersebut:

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "AK",
      "access_key_id": "LTAI...",
      "access_key_secret": "..."
    }
  }
}

Jalankan perintah berikut untuk memverifikasi apakah koneksi berhasil (ganti cn-hangzhou dengan wilayah Anda):

workbench list ecs -r cn-hangzhou

Dalam kondisi normal, perintah tersebut mengembalikan daftar instans di wilayah tersebut. Jika muncul error seperti InvalidAccessKeyId atau NoPermission, lihat bagian FAQ dokumen ini.

(Opsional) Atur bahasa antarmuka

Workbench CLI mendukung bahasa antarmuka Tiongkok (zh) dan Inggris (en). Default-nya adalah bahasa Tiongkok. Jalankan perintah berikut untuk beralih:

workbench config set language en   # Beralih ke bahasa Inggris
workbench config set language zh   # Kembali ke bahasa Tiongkok

Anda juga dapat mengaturnya selama alur interaktif workbench config, atau langsung edit ~/.workbench/config.json untuk menambahkan bidang language ke profil yang sesuai:

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "AK",
      "language": "en"
    }
  }
}

Perubahan berlaku saat Anda terhubung berikutnya. Anda tidak perlu merestart daemon.

(Opsional) Kelola Beberapa Profil

Jika Anda perlu beralih antara beberapa Akun Alibaba Cloud atau beberapa set kredensial, Anda dapat menggunakan fitur profil untuk menghindari konfigurasi ulang berulang kali. Semua profil disimpan dalam file ~/.workbench/config.json yang sama, dan bidang current menandai profil aktif.

workbench config --profile prod          # Buat atau edit profil bernama prod
workbench config list                    # Daftar semua profil (* menandai yang aktif)
workbench config get --profile prod      # Tampilkan detail profil tertentu
workbench config switch --profile prod   # Ganti profil aktif
workbench config delete --profile old    # Hapus profil (tidak bisa menghapus profil aktif)
workbench exec -i i-xxx -c "hostname" --profile prod   # Gunakan profil tertentu hanya untuk perintah ini

Berikut contoh struktur multi-profil dalam config.json:

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "AK",
      "access_key_id": "LTAI...",
      "access_key_secret": "..."
    },
    "prod": {
      "mode": "RamRoleArn",
      "access_key_id": "LTAI...",
      "access_key_secret": "...",
      "ram_role_arn": "acs:ram::123456:role/prod",
      "role_session_name": "workbench"
    }
  }
}

Metode Konfigurasi Lainnya

AccessKey jangka panjang merupakan kredensial jangka panjang. Jika bocor, dapat disalahgunakan dalam jangka waktu lama. Di lingkungan produksi atau ketika Anda memiliki persyaratan keamanan yang lebih ketat, kami merekomendasikan agar Anda beralih ke salah satu dari empat mode berikut:

workbench config --mode StsToken

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "StsToken",
      "access_key_id": "STS.LTAI...",
      "access_key_secret": "...",
      "sts_token": "..."
    }
  }
}

workbench config --mode RamRoleArn

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "RamRoleArn",
      "access_key_id": "LTAI...",
      "access_key_secret": "...",
      "ram_role_arn": "acs:ram::123456789:role/WorkbenchRole",
      "role_session_name": "workbench-session"
    }
  }
}

workbench config --mode CredentialsCmd

// AccessKey jangka panjang
{
  "mode": "AK",
  "access_key_id": "<AccessKeyID>",
  "access_key_secret": "<AccessKeySecret>"
}

// Kredensial sementara STS
{
  "mode": "StsToken",
  "access_key_id": "<AccessKeyID>",
  "access_key_secret": "<AccessKeySecret>",
  "sts_token": "<SecurityToken>"
}

workbench config --mode CredentialsURI

{
  "Code": "Success",
  "AccessKeyId": "<AccessKeyID>",
  "AccessKeySecret": "<AccessKeySecret>",
  "SecurityToken": "<SecurityToken>",
  "Expiration": "2026-01-01T12:00:00Z"
}

{
  "current": "default",
  "profiles": {
    "default": {
      "mode": "CredentialsURI",
      "credentials_uri": "http://localhost:8080/credentials"
    }
  }
}

Perbarui Workbench CLI

Workbench CLI mendukung peningkatan mandiri dengan satu perintah. Jalankan perintah berikut untuk meningkatkan ke versi terbaru:

workbench upgrade

Peningkatan secara otomatis mengunduh dan memverifikasi biner terbaru serta menggantikan versi saat ini.

Copot pemasangan

Workbench CLI tidak mendaftarkan layanan sistem atau memodifikasi konfigurasi sistem. Untuk menguninstalnya, Anda hanya perlu menghentikan daemon, menghapus biner, dan opsional menghapus direktori konfigurasi lokal.

workbench daemon stop
sudo rm -f /usr/local/bin/workbench
rm -rf ~/.workbench

workbench daemon stop
Remove-Item "$env:ProgramFiles\workbench" -Recurse -Force

# Hapus shim yang dibuat selama instalasi berbasis Cloud Assistant
Remove-Item "$env:SystemRoot\System32\workbench.cmd" -Force -ErrorAction SilentlyContinue

Remove-Item "$env:USERPROFILE\.workbench" -Recurse -Force

# Bersihkan jalur workbench yang ditambahkan ke PATH pengguna oleh skrip instalasi (skenario Remote Desktop)
$path = [Environment]::GetEnvironmentVariable("Path", "User")
if ($path -match "workbench") {
    $cleaned = ($path -split ";" | Where-Object { $_ -notmatch "workbench" }) -join ";"
    [Environment]::SetEnvironmentVariable("Path", $cleaned, "User")
}

FAQ

chmod 600 ~/.workbench/config.json

Referensi

• Hubungkan ke instans menggunakan Workbench CLI: Topik induk, yang mencakup posisi tool, matriks kemampuan, dan quick start.

• Kelola instans ECS menggunakan Workbench CLI: Penjelasan detail setiap perintah dan skenario umum.

• Operasikan instans ECS menggunakan Workbench CLI dalam agen AI: Integrasikan Workbench CLI ke dalam tool pemrograman AI.

• Berikan izin kepada RAM user

• Buat Pasangan AccessKey

• Apa itu STS?

• Instal agen Cloud Assistant