Alibaba Cloud SDK：Kelola kredensial akses

Informasi latar belakang

Saat menggunakan Alibaba Cloud SDK untuk pengembangan, konfigurasikan tipe kredensial yang sesuai berdasarkan skenario bisnis dan kebutuhan kontrol izin Anda. Untuk membantu pengembang membangun aplikasi yang stabil dan andal, pastikan variabel lingkungan atau file konfigurasi diatur dengan benar agar SDK dapat membaca dan menggunakan kredensial.

Prasyarat

• Gunakan Go versi 1.10.x atau lebih baru.

• Pustaka inti dari Alibaba Cloud SDK untuk Go telah diinstal.

  go get -u github.com/aliyun/alibaba-cloud-sdk-go/sdk

Inisialisasi klien Kredensial

Metode 1: Gunakan rantai penyedia kredensial default

Jika tidak menentukan metode untuk menginisialisasi klien SDK, rantai penyedia kredensial default akan digunakan. Untuk informasi lebih lanjut, lihat bagian Rantai Penyedia Kredensial Default dari topik ini.

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials/provider"
)

func main() {

    config := sdk.NewConfig()
    
    // Tidak ada nilai yang ditentukan untuk parameter ini.
    credential := credentials.NewDefaultCredentialsProvider()
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    // Langkah pemanggilan operasi API dihilangkan.
}

Metode 2: Gunakan pasangan AccessKey

Anda dapat membuat pasangan AccessKey untuk akun Alibaba Cloud dan Pengguna Manajemen Akses Sumber Daya (RAM) untuk memanggil API. Pasangan AccessKey dapat digunakan untuk menginisialisasi klien SDK.

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    credential, err := credentials.NewStaticAKCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"): Dapatkan ID AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"): Dapatkan rahasia AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // Langkah pemanggilan operasi API dihilangkan.
}

Metode 3: Gunakan token STS

Untuk memastikan keamanan bisnis Anda, Anda dapat mengajukan kredensial keamanan sementara (TSC) dari Security Token Service (STS) untuk membuat klien sementara.

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    credential, err := credentials.NewStaticSTSCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"): Dapatkan ID AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	// os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"): Dapatkan rahasia AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
        // os.Getenv("ALIBABA_CLOUD_SECURITY_TOKEN"): Dapatkan token STS dari variabel lingkungan.	
	WithSecurityToken(os.Getenv("ALIBABA_CLOUD_SECURITY_TOKEN")).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // Langkah pemanggilan operasi API dihilangkan.
}

Metode 4: Gunakan pasangan AccessKey dan Peran RAM

Anda dapat menentukan Nama Sumber Daya Alibaba Cloud (ARN) dari Peran RAM untuk menginisialisasi klien SDK. Klien SDK harus mendapatkan token STS dengan memanggil API STS sebelum mengirim permintaan API. Untuk membatasi izin pada token STS, konfigurasikan kebijakan kustom di RAM.

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()
    
    credential, err := credentials.NewRAMRoleARNCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"): Wajib. Dapatkan ID AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	// os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"): Wajib. Dapatkan rahasia AccessKey dari pengguna RAM dari variabel lingkungan.
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
	// "<Role_Arn>" Wajib. ARN dari Peran RAM. Anda bisa mendapatkan ARN dari peran RAM di konsol RAM. Contoh: acs:ram::123456789012****:role/adminrole.
	WithRoleArn("<Role_Arn>").
	// "<ROLE_SESSION_NAME>" Wajib. Nama sesi peran, yang digunakan untuk membedakan sesi yang berbeda. Contoh: alice.
	WithRoleSessionName("<ROLE_SESSION_NAME>").
	// "<POLICY>": Tentukan kebijakan kustom untuk membatasi izin sesi peran. Contoh: {\"Statement\": [{\"Action\": [\"*\"],\"Effect\": \"Allow\",\"Resource\": [\"*\"]}],\"Version\":\"1\"}.
	WithPolicy("<POLICY>").
	// "<EXTERNAL_ID>": Tentukan ID eksternal untuk peran, jika bingung dengan wakil. Contoh: abcd1234.
	WithExternalId("<EXTERNAL_ID>").
	// <ROLE_SESSION_EXPIRATION>: periode validitas token. Contoh: 3600.
	WithDurationSeconds(3600).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // Langkah pemanggilan operasi API dihilangkan.
}

Metode 5: Gunakan Peran RAM dari Instance ECS

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    
    config := sdk.NewConfig()
    
    // Gunakan token STS untuk menginisialisasi klien SDK. Token STS diperoleh dengan menggunakan Peran RAM yang dilampirkan ke instance ECS.
    // Metode ini cocok untuk program yang berjalan di instance ECS dan perlu mengakses sumber daya Alibaba Cloud lainnya.
   credential, err := credentials.NewECSRAMRoleCredentialsProviderBuilder().
	// "<ROLE_NAME>": Tentukan nama Peran RAM yang ingin Anda gunakan. Anda dapat menentukan nilai default untuk parameter roleName di variabel lingkungan ALIBABA_CLOUD_ECS_METADATA. Contoh: alice.
	WithRoleName(os.Getenv("ALIBABA_CLOUD_ECS_METADATA")).
	// Nilai true menentukan bahwa mode Penguatan Keamanan digunakan secara paksa. Nilai default adalah false, yang menentukan bahwa sistem pertama kali mencoba mendapatkan kredensial akses dalam mode Penguatan Keamanan. Jika kredensial akses gagal diperoleh, mode normal digunakan.
	//WithDisableIMDSv1(true).
	Build()
    if err != nil {
	panic(err)
    }
    
   // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
   client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
   if err != nil {
	panic(err)
   }
   
   // Langkah pemanggilan operasi API dihilangkan.
}

Metode 6: Gunakan Peran RAM dari OIDC IdP

package main

import (
	"os"

	"github.com/aliyun/alibaba-cloud-sdk-go/sdk"
	"github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    // Gunakan Peran RAM dari Penyedia Identitas OIDC (IdP) untuk menginisialisasi klien SDK.
    credential, err := credentials.NewOIDCCredentialsProviderBuilder().
	// Tentukan ARN dari Penyedia Identitas OIDC dengan menentukan variabel lingkungan ALIBABA_CLOUD_OIDC_PROVIDER_ARN.
	WithOIDCProviderARN(os.Getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN")).
	// Tentukan jalur file token OIDC dengan menentukan variabel lingkungan ALIBABA_CLOUD_OIDC_TOKEN_FILE.
	WithOIDCTokenFilePath(os.Getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE")).
	// "<Role_Arn>" Wajib. ARN dari Peran RAM. Anda bisa mendapatkan ARN dari peran RAM di konsol RAM. Contoh: acs:ram::123456789012****:role/adminrole.
	WithRoleArn("<Role_Arn>").
	// "<ROLE_SESSION_NAME>" Wajib. Tentukan nama untuk sesi peran. Contoh: alice.
	WithRoleSessionName("<ROLE_SESSION_NAME>").
	// "<POLICY>": Opsional. Berikan izin terbatas untuk Peran RAM. Contoh: {"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}.
	WithPolicy("<POLICY>").
	// <ROLE_SESSION_EXPIRATION>: Tentukan periode validitas untuk sesi. Contoh: 3600.
	WithDurationSeconds(3600).
	Build()
     if err != nil {
	 panic(err)
    }   
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	 panic(err)
    }
    
    // Langkah pemanggilan operasi API dihilangkan.
}

Metode 7: Gunakan token bearer

Hanya Cloud Call Center yang mengizinkan Anda menggunakan token bearer untuk menginisialisasi klien SDK.

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    // <BEARER_TOKEN> menentukan jenis metode autentikasi untuk pemanggilan API.
    credential := credentials.NewBearerTokenCredentialsProvider("<BEARER_TOKEN>")
    
    // <REGION_ID>: Tentukan wilayah Alibaba Cloud yang perlu diakses oleh klien SDK. Contoh: cn-hangzhou.
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // Langkah pemanggilan operasi API dihilangkan.
}

Rantai penyedia kredensial default

Jika ingin menggunakan berbagai jenis kredensial dalam lingkungan pengembangan dan produksi, umumnya Anda perlu mendapatkan informasi lingkungan dari kode dan menulis cabang kode untuk mendapatkan kredensial yang berbeda untuk lingkungan pengembangan dan produksi. Rantai penyedia kredensial default dari Alat Kredensial memungkinkan Anda menggunakan kode yang sama untuk mendapatkan kredensial untuk lingkungan yang berbeda berdasarkan konfigurasi yang independen dari aplikasi. Jika menggunakan credentials.NewDefaultCredentialsProvider() untuk menginisialisasi klien Kredensial tanpa menentukan metode inisialisasi, Alat Kredensial mendapatkan informasi kredensial dalam urutan berikut:

1. Dapatkan informasi kredensial dari variabel lingkungan

2. Dapatkan informasi kredensial dengan menggunakan Peran RAM dari OIDC IdP

3. Dapatkan informasi kredensial dari file config.json

{
	"current": "default",
	"profiles": [
		{
			"name": "default",
			"mode": "AK",
			"access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>"
		},
		{
			"name": "client",
			"mode": "StsToken",
			"access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
			"sts_token": "<SECURITY_TOKEN>"
		},
		{
			"name":"client1",
			"mode":"RamRoleArn",
			"access_key_id":"<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret":"<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client2",
			"mode":"EcsRamRole",
			"ram_role_name":"<RAM_ROLE_ARN>"
		},
		{
			"name":"client3",
			"mode":"OIDC",
			"oidc_provider_arn":"<OIDC_PROVIDER_ARN>",
			"oidc_token_file":"<OIDC_TOKEN_FILE>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client4",
			"mode":"ChainableRamRoleArn",
			"source_profile":"<PROFILE_NAME>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		}
	]
}

4. Dapatkan informasi kredensial dari Peran RAM dari instance ECS

5. Gunakan URI kredensial