Alibaba Cloud SDK:Manage credentials

Metode 1: Rantai kredensial default

Jika Anda tidak memberikan parameter konfigurasi apa pun saat menginisialisasi tool Credentials, tool ini akan mengambil kredensial dari rantai kredensial default. Untuk menggunakan metode ini, pastikan lingkungan runtime aplikasi Anda dikonfigurasi dengan setidaknya satu metode pengambilan kredensial yang didukung oleh rantai kredensial default.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        // Jika tidak ada parameter konfigurasi yang ditentukan, tool akan mengambil kredensial dari rantai kredensial default.
        Client credentialClient = new Client();
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 2: AK

Tool Credentials menggunakan AccessKey yang Anda berikan sebagai kredensial akses.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("access_key");
        // Wajib. Contoh ini mengambil ID AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // Wajib. Contoh ini mengambil rahasia AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 3: Token STS

Tool Credentials menggunakan token STS statis yang Anda berikan sebagai kredensial akses.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) {
        Config credentialConfig = new Config();
        credentialConfig.setType("sts");
        // Wajib. Contoh ini mengambil ID AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // Wajib. Contoh ini mengambil rahasia AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        // Wajib. Contoh ini mengambil token keamanan sementara dari variabel lingkungan.
        credentialConfig.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 4: AK dan ARN RAM role

Tool Credentials menggunakan AK dan ARN RAM role Anda untuk memanggil API AssumeRole dan mendapatkan token STS, yang berfungsi sebagai kredensial akses. Kredensial yang diperoleh dengan cara ini mendukung refresh otomatis. Untuk informasi selengkapnya, lihat Refresh otomatis kredensial sesi.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ram_role_arn");
        // Wajib. Contoh ini mengambil ID AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // Wajib. Contoh ini mengambil rahasia AccessKey dari variabel lingkungan.
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        // Opsional. Memungkinkan penggunaan kredensial sementara untuk mengasumsikan RAM role lain.
        credentialConfig.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        // Wajib. ARN dari RAM role yang akan diasumsikan. Contoh: acs:ram::123456789012****:role/adminrole. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_ROLE_ARN.
        credentialConfig.setRoleArn("<RoleArn>");
        // Opsional. Nama sesi role. Format default: credentials-java-<timestamp>. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_ROLE_SESSION_NAME.
        credentialConfig.setRoleSessionName("<RoleSessionName>");
        // Opsional. Kebijakan izin yang lebih ketat. Tidak wajib. Contoh: {"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}.
        credentialConfig.setPolicy("<Policy>");
        // Opsional. External ID untuk mencegah masalah confused deputy.
        credentialConfig.setExternalId("<ExternalId>");
        // Opsional. Waktu kedaluwarsa sesi dalam detik. Nilai default: 3600.
        credentialConfig.setRoleSessionExpiration(3600);
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}</timestamp>

Metode 5: RAM role instans ECS

Jika aplikasi Anda berjalan pada instans Elastic Compute Service (ECS) atau Elastic Container Instance (ECI) yang telah diberi RAM role, tool Credentials akan mengambil token STS dari metadata instans untuk digunakan sebagai kredensial akses. Saat mengakses metadata instans, tool pertama-tama mengambil nama RAM role yang ditetapkan ke instans tersebut. Anda dapat menentukan nama RAM role secara langsung menggunakan parameter roleName atau variabel lingkungan ALIBABA_CLOUD_ECS_METADATA untuk mengurangi waktu pengambilan dan meningkatkan efisiensi. Kredensial yang diperoleh dengan cara ini mendukung refresh otomatis. Untuk informasi selengkapnya, lihat Refresh otomatis kredensial sesi.

Secara default, tool Credentials mengakses metadata instans dalam mode aman (IMDSv2). Jika akses ini gagal, gunakan parameter disableIMDSv1 atau variabel lingkungan ALIBABA_CLOUD_IMDSV1_DISABLED untuk mengontrol perilaku fallback:

• Jika diatur ke false (default), tool akan beralih ke mode normal untuk mengambil kredensial.

• Jika diatur ke true, tool hanya menggunakan mode aman dan akan melemparkan exception jika akses gagal.

Dukungan server Anda terhadap IMDSv2 bergantung pada konfigurasinya.

Untuk menonaktifkan akses kredensial dari metadata instans, atur variabel lingkungan ALIBABA_CLOUD_ECS_METADATA_DISABLED=true.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ecs_ram_role");
        // Opsional. Nama RAM role yang diberikan ke instans ECS. Jika tidak ditentukan, tool akan mengambilnya secara otomatis. Kami menyarankan untuk mengatur parameter ini guna mengurangi jumlah permintaan. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_ECS_METADATA.
        credentialConfig.setRoleName("<RoleName>");
        // Opsional. Atur ke true untuk menerapkan mode aman. Nilai default: false. Tool pertama-tama mencoba mendapatkan kredensial dalam mode aman. Jika gagal, tool beralih ke mode normal.
        credentialConfig.setDisableIMDSv1(false);
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 6: ARN role OIDC

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("oidc_role_arn");
        // Wajib. ARN RAM role. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_ROLE_ARN.
        credentialConfig.setRoleArn("<RoleArn>");
        // Wajib. ARN penyedia identitas OIDC. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_OIDC_PROVIDER_ARN.
        credentialConfig.setOidcProviderArn("<OidcProviderArn>");
        // Wajib. Jalur file token OIDC. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_OIDC_TOKEN_FILE.
        credentialConfig.setOidcTokenFilePath("<OidcTokenFilePath>");
        // Opsional. Nama sesi role. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_ROLE_SESSION_NAME.
        credentialConfig.setRoleSessionName("<RoleSessionName>");
        // Opsional. Kebijakan izin yang lebih ketat. Tidak wajib. Contoh: {"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
        credentialConfig.setPolicy("<Policy>");
        // Opsional. Waktu kedaluwarsa sesi dalam detik. Nilai default: 3600.
        credentialConfig.setRoleSessionExpiration(3600);
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 7: URI Kredensial

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("credentials_uri");
        // Wajib. URI untuk mengambil kredensial eksternal. Format: http://local_or_remote_uri/. Anda juga dapat mengatur ini melalui variabel lingkungan ALIBABA_CLOUD_CREDENTIALS_URI.
        credentialConfig.setCredentialsUri("<CredentialsUri>");
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK produk cloud V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

Metode 8: Token Bearer

Saat ini, hanya Alibaba Cloud Call Center (CCC) yang mendukung autentikasi token bearer.

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;
public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("bearer");
        // Wajib. Masukkan token bearer Anda.
        credentialConfig.setBearerToken("<BearerToken>");
        Client credentialClient = new Client(credentialConfig);
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        // Jika Anda menggunakan SDK CCC V2.0, gunakan com.aliyun.teaopenapi.models.Config untuk meneruskan kredensial.
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // Kode untuk menginisialisasi client produk cloud dengan objek config dihilangkan.
    }
}

1. Properti sistem

Rantai penyedia pertama-tama memeriksa kredensial di properti sistem Java.

• Jika properti sistem alibabacloud.accessKeyId dan alibabacloud.accessKeySecret didefinisikan, rantai penyedia menggunakan AccessKey sebagai kredensial default.

• Jika properti sistem alibabacloud.accessKeyId, alibabacloud.accessKeySecret, dan alibabacloud.sessionToken didefinisikan, rantai penyedia menggunakan token STS sebagai kredensial default.

Anda dapat menentukan nilai-nilai ini dengan menambahkan parameter JVM berikut saat menjalankan program Java Anda:

-Dalibabacloud.accessKeyId=your-access-key-id -Dalibabacloud.accessKeySecret=your-access-key-secret

2. Variabel lingkungan

3. RAM role OIDC

4. Berkas kredensial bersama

{
  "current": "<PROFILE_NAME>",
  "profiles": [
    {
      "name": "<PROFILE_NAME>",
      "mode": "AK",
      "access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>"
    },
    {
      "name": "<PROFILE_NAME1>",
      "mode": "StsToken",
      "access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
      "sts_token": "<SECURITY_TOKEN>"
    },
    {
      "name":"<PROFILE_NAME2>",
      "mode":"RamRoleArn",
      "access_key_id":"<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret":"<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    },
    {
      "name":"<PROFILE_NAME3>",
      "mode":"EcsRamRole",
      "ram_role_name":"<RAM_ROLE_ARN>"
    },
    {
      "name":"<PROFILE_NAME4>",
      "mode":"OIDC",
      "oidc_provider_arn":"<OIDC_PROVIDER_ARN>",
      "oidc_token_file":"<OIDC_TOKEN_FILE>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    },
    {
      "name":"<PROFILE_NAME5>",
      "mode":"ChainableRamRoleArn",
      "source_profile":"<PROFILE_NAME>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    }
  ]
}

5. RAM role instans

6. CredentialsURI

Jenis kredensial sesi, seperti ram_role_arn, ecs_ram_role, oidc_role_arn, dan credentials_uri, mendukung refresh otomatis melalui mekanisme bawaan di penyedia kredensial. Saat client kredensial mengambil kredensial untuk pertama kalinya, penyedia menyimpannya dalam cache. Pada operasi selanjutnya, instans client yang sama secara otomatis mengambil kredensial dari cache ini. Jika kredensial yang di-cache telah kedaluwarsa, instans client mengambil yang baru dan memperbarui cache sesuai.

Contoh berikut menggunakan pola singleton untuk membuat client kredensial. Contoh ini menunjukkan mekanisme refresh dengan mengambil kredensial pada interval waktu berbeda dan memanggil operasi OpenAPI untuk memverifikasi bahwa kredensial tersebut dapat digunakan.

Analisis berdasarkan output log:

• Pada pemanggilan pertama, cache kosong. Sistem mengambil kredensial berdasarkan konfigurasi Anda, lalu menyimpannya dalam cache.

• Pemanggilan kedua menggunakan kredensial yang sama dengan yang pertama, menunjukkan bahwa kredensial diambil dari cache.

• Pada pemanggilan ketiga, kredensial yang di-cache telah kedaluwarsa. Waktu kedaluwarsanya (RoleSessionExpiration) adalah 3.600 detik, tetapi pemanggilan ini dilakukan 4.200 detik setelah yang pertama. Akibatnya, mekanisme refresh otomatis SDK mengambil kredensial baru dan memperbarui cache.

• Pemanggilan keempat menggunakan kredensial yang sama dengan yang ketiga, mengonfirmasi bahwa cache telah diperbarui.