Resource Access Management:Praktik terbaik untuk mengakses Alibaba Cloud OpenAPI

Gunakan RAM Roles for Service Accounts (RRSA)

Prasyarat

• Metode ini berlaku untuk layanan cloud yang mendukung RAM.

• Versi kluster: Kubernetes 1.22 atau lebih baru, pada kluster ACK yang dikelola (Basic atau Pro), kluster ACK Serverless (Basic atau Pro), atau kluster ACK Edge (Pro saja).

• Alibaba Cloud SDK V2.0 digunakan.

• SDK kustom untuk produk gerbang yang dikelola sendiri tidak dapat digunakan.

Cara kerja

Prosedur

• Aktifkan RRSA untuk kluster ACK Anda.

• Gunakan RRSA di kluster ACK Anda.

Contoh kode

Alibaba Cloud SDK V2.0 mendukung autentikasi token OIDC RRSA. SDK layanan cloud apa pun yang dibangun di atas V2.0 dan mendukung token STS juga mendukung RRSA.

Gunakan instance RAM role

Prasyarat

• Metode ini berlaku untuk layanan cloud yang mendukung RAM.

• Alibaba Cloud SDK V2.0 digunakan.

• SDK kustom untuk produk gerbang yang dikelola sendiri tidak dapat digunakan.

Cara kerja

Anda dapat menyambungkan peran Resource Access Management (RAM) instans ke instans Elastic Compute Service (ECS). Kemudian, instans ECS tersebut dapat menggunakan kredensial temporary Layanan Token Keamanan (STS) dari peran RAM instans untuk mengakses API layanan Alibaba Cloud lainnya. Kredensial temporary STS diperbarui secara berkala. Hal ini menjamin keamanan Pasangan AccessKey Anda dan menerapkan kontrol akses serta manajemen izin detail halus menggunakan RAM.

Alur kerja:

1. Aplikasi mengambil token STS dengan mengakses metadata instans ECS.

2. Aplikasi menggunakan token STS untuk mengakses sumber daya cloud. Apa itu STS?.

Prosedur

Tetapkan peran RAM ke instans ECS. Peran RAM instans.

Contoh kode

Alibaba Cloud Credentials menyederhanakan penggunaan instance RAM role. Contoh-contoh ini memanggil operasi ECS DescribeRegions dengan instance RAM role.

Asumsi peran berantai cross-account

Jika aplikasi Anda pada instans ECS perlu mengakses sumber daya di akun Alibaba Cloud lain, Anda dapat menggunakan asumsi peran berantai cross-account untuk mendapatkan akses tanpa menyimpan Pasangan AccessKey.

Cara kerja

Instans ECS pertama-tama mendapatkan kredensial temporary untuk instance RAM role-nya sendiri dari metadata instans. Instans tersebut kemudian menggunakan kredensial ini untuk memanggil sts:AssumeRole guna mengasumsikan peran RAM di akun tujuan dan mendapatkan token STS untuk akun tujuan tersebut. Proses ini disebut asumsi peran berantai.

Prosedur

1. Di akun tujuan, buat peran RAM. Tetapkan Principal.RAM dalam kebijakan kepercayaan peran tersebut ke Nama Sumber Daya Alibaba Cloud (ARN) dari instance RAM role di akun sumber, misalnya, acs:ram::<source-account-id>:role/<instance-role-name>. Berikan peran ini izin yang dibutuhkan aplikasi.

2. Pada instance RAM role di akun sumber, sambungkan kebijakan izin yang memberikan izin sts:AssumeRole. Anda dapat menggunakan kebijakan sistem AliyunSTSAssumeRoleAccess.

3. Pada instans ECS, gunakan tool Alibaba Cloud Credentials untuk melakukan asumsi peran berantai. Tool tersebut pertama-tama mendapatkan kredensial temporary dari instance RAM role dari metadata instans. Tool tersebut kemudian menggunakan kredensial ini untuk memanggil sts:AssumeRole guna mengasumsikan peran RAM di akun tujuan dan mendapatkan token STS cross-account.

Token STS untuk pengembangan dan debugging

Skenario

Untuk personel pengembangan, operasi, dan produk yang memerlukan kredensial untuk O&M, manajemen, atau debugging, gunakan SSO berbasis peran untuk mengasumsikan peran RAM dan mendapatkan token STS alih-alih Pasangan AccessKey permanen.

Prosedur

• Untuk skenario single-account, kami merekomendasikan Anda mengonfigurasi SSO peran berbasis SAML dalam akun cloud dan menetapkan peran RAM kepada karyawan berdasarkan fungsi pekerjaan mereka. Karyawan kemudian dapat menggunakan tool saml2alibabacloud pada command line untuk mendapatkan token STS setelah melakukan autentikasi dengan penyedia identitas (IdP).

• Untuk skenario multi-account, kami merekomendasikan Anda menggunakan CloudSSO untuk mengonfigurasi single sign-on untuk beberapa akun. Setelah dikonfigurasi, karyawan dapat menggunakan CLI untuk login ke CloudSSO dan mengakses sumber daya Alibaba Cloud.

Gunakan token STS di Function Compute

Skenario

Alih-alih meng-hardcode Pasangan AccessKey Pengguna RAM dalam fungsi FC, asosiasikan fungsi tersebut dengan peran RAM. Aplikasi kemudian menggunakan token STS untuk mengakses sumber daya cloud, sehingga menghindari kebocoran kredensial permanen.

Arsitektur solusi

Peran fungsi FC mengelola kredensial temporary pada waktu proses, menghindari eksposur jangka panjang Pasangan AccessKey. Konfigurasikan peran dan izin sekali saja; fungsi akan secara otomatis mendapatkan kredensial temporary.

Administrator membuat peran yang dipercaya oleh Function Compute dan memberikan izin yang diperlukan (1), lalu mengasosiasikan peran tersebut dengan fungsi FC (2). Aplikasi mengambil token STS dari konteks fungsi (3). Selama proses ini, Function Compute memanggil AssumeRole untuk mendapatkan token STS dari RAM/STS (i). Aplikasi menggunakan token STS tersebut untuk memanggil API sumber daya cloud target (4), dan API sumber daya mengembalikan hasil ke aplikasi klien.

Prosedur

Berikan izin Function Compute untuk mengakses layanan Alibaba Cloud lainnya.

Konfigurasikan variabel lingkungan sistem

Prosedur

Konfigurasikan variabel lingkungan ALIBABA_CLOUD_ACCESS_KEY_ID dan ALIBABA_CLOUD_ACCESS_KEY_SECRET.

<ACCESS_KEY_ID>

Contoh kode Alibaba Cloud SDK

Alibaba Cloud SDK membuat kredensial default dari variabel lingkungan ALIBABA_CLOUD_ACCESS_KEY_ID dan ALIBABA_CLOUD_ACCESS_KEY_SECRET dan menggunakannya untuk mengautentikasi permintaan secara otomatis. Contoh-contoh ini memanggil operasi ECS DescribeRegions.

Contoh kode generik

Jika Anda tidak dapat menggunakan Alibaba Cloud SDK (misalnya, SDK kustom untuk produk gerbang yang dikelola sendiri), muat variabel lingkungan secara langsung. Contoh Java:

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception{
        Config config = new Config();
        // Tentukan jenis kredensial yang ingin Anda gunakan.
        config.setType("access_key");
        // AccessKeyId dari Pengguna RAM Anda.
        config.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // AccessKeySecret dari Pengguna RAM Anda.
        config.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client client = new Client(config);
    }
}