Terraform：Otentikasi Identitas Terraform

Konfigurasi statis mengacu pada penentuan kredensial akses secara langsung dalam blok provider berkas konfigurasi Terraform.

Parameter

provider "alicloud" {
  access_key = "<Your AccessKey ID>"
  secret_key = "<Your AccessKey secret>"
  # If you use an STS credential, configure security_token.
  # security_token = "<Your STS token>"
}

Contoh konfigurasi

Untuk meningkatkan keamanan, Anda dapat meneruskan kredensial akses sebagai variabel alih-alih melakukan hardcoding dalam teks biasa di berkas konfigurasi. Jangan menetapkan nilai default untuk variabel tersebut:

variable "access_key_id" {
  description = "The AccessKey ID for operating your infrastructure"
}
variable "access_key_secret" {
  description = "The AccessKey Secret for operating your infrastructure"
}
variable "security_token" {
  description = "The Security Token for operating your infrastructure"
}
provider "alicloud" {
  access_key = var.access_key_id
  secret_key = var.access_key_secret
  # If you use an STS credential, configure security_token.
  # security_token = var.security_token
}

Saat menjalankan perintah terraform, Anda dapat menggunakan opsi -var untuk meneruskan nilai variabel:

$ terraform plan -var access_key_id="<Your AccessKey ID>" -var access_key_secret="<Your AccessKey secret>" -var security_token="<Your STS token>"

Anda dapat menyimpan kredensial akses dalam variabel lingkungan. Jika kredensial tidak dikonfigurasi secara statis dalam berkas konfigurasi, Terraform membacanya dari variabel lingkungan yang ditentukan.

Parameter

Contoh konfigurasi

# AccessKey ID
$ export ALICLOUD_ACCESS_KEY="<Your AccessKey ID>"
# AccessKey Secret
$ export ALICLOUD_SECRET_KEY="<Your AccessKey secret>"
# If you use an STS credential, configure security_token.
$ export ALICLOUD_SECURITY_TOKEN="<Your STS token>"

provider "alicloud" {
  region = "cn-hangzhou"
}

Saat Terraform dijalankan pada instans ECS, Anda dapat menggunakan peran RAM instans untuk otentikasi. Jika Anda melampirkan peran RAM ke instans ECS, aplikasi pada instans tersebut, termasuk Terraform, dapat secara otomatis memperoleh dan memperbarui kredensial akses sementara. Metode ini menghilangkan kebutuhan untuk mengonfigurasi AccessKey, sehingga mengurangi risiko kebocoran kunci. Anda juga dapat menerapkan kontrol izin detail halus menggunakan peran RAM tersebut. Untuk informasi selengkapnya, lihat Peran RAM Instans.

Parameter

Contoh konfigurasi

1. Siapkan instans ECS yang memiliki akses jaringan publik.

2. Buat peran RAM dan lampirkan ke instans ECS.

3. Dalam blok provider, atur parameter ecs_role_name ke nama peran RAM tersebut:

provider "alicloud" {
  ecs_role_name = "<Name of the RAM role attached to the ECS instance>"
}

Anda juga dapat menggunakan variabel lingkungan ALICLOUD_ECS_ROLE_NAME untuk mengatur parameter ini.

Otentikasi menggunakan peran RAM instans untuk ECS sangat aman. Kami merekomendasikan metode ini saat Anda menjalankan Terraform pada instans ECS.

Asumsi peran OIDC mirip dengan asumsi peran (AssumeRole). Kedua metode memperoleh kredensial sementara dengan mengasumsikan peran RAM untuk mengakses resource Alibaba Cloud. Perbedaannya adalah asumsi peran OIDC menggunakan identitas yang dikeluarkan oleh OIDC IdP. Untuk informasi selengkapnya, lihat Mengelola OIDC IdP.

Parameter

Saat Anda mengonfigurasi asumsi peran OIDC, semua parameter terkait diatur dalam blok assume_role_with_oidc:

Contoh konfigurasi

Otentikasi asumsi peran OIDC diimplementasikan dengan memanggil operasi AssumeRoleWithOIDC - Memperoleh kredensial sementara untuk peran RAM dari OIDC IdP untuk SSO berbasis peran. Sebelum mengonfigurasi metode ini, siapkan informasi berikut:

1. Buat OIDC IdP, peroleh token OIDC dari IdP eksternal, dan catat ARN OIDC IdP serta token OIDC tersebut.

2. Buat peran RAM dengan penyedia identitas sebagai entitas tepercaya, berikan peran tersebut izin yang diperlukan (seperti AliyunOSSFullAccess), dan catat ARN peran tersebut.

3. (Opsional) Anda dapat menulis kebijakan RAM kustom, misalnya yang hanya mengizinkan akses ke bucket di wilayah Tiongkok (Hangzhou). Kebijakan ini digabungkan dengan izin peran untuk kontrol akses yang lebih detail halus.

Setelah persiapan selesai, tambahkan konfigurasi berikut dalam blok provider:

provider "alicloud" {
  assume_role_with_oidc {
    oidc_provider_arn  = "<ARN of the OIDC IdP>"
    oidc_token         = "<OIDC token issued by the external IdP>"
    role_arn           = "<ARN of the RAM role>"
    policy             = "<Content of the RAM access policy>"
    role_session_name  = "<Custom role session name>"
    session_expiration = <Maximum validity period of the temporary access credential>
  }
}

Alibaba Cloud Container Service for Kubernetes (ACK) memungkinkan Anda menggunakan fitur RAM Roles for Service Accounts (RRSA) untuk secara otomatis membuat OIDC IdP dan mengeluarkan token OIDC. Untuk informasi selengkapnya, lihat Gunakan RRSA untuk mengotorisasi pod berbeda mengakses layanan cloud berbeda. Setelah Anda mengaktifkan fitur RRSA, komponen ack-pod-identity-webhook secara otomatis menyuntikkan variabel lingkungan ALIBABA_CLOUD_OIDC_PROVIDER_ARN, ALIBABA_CLOUD_OIDC_TOKEN_FILE, dan ALIBABA_CLOUD_ROLE_ARN ke dalam pod. Di lingkungan ini, jika Anda menjalankan Terraform dalam pod ACK, contoh di atas dapat disederhanakan sebagai berikut:

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

Jika Anda tidak perlu menggunakan parameter policy untuk otorisasi detail halus, Anda dapat langsung memberikan izin yang diperlukan kepada peran RAM. Dalam kasus ini, konfigurasi dapat lebih disederhanakan:

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

Asumsi peran (AssumeRole) cocok untuk skenario di mana Anda perlu memisahkan izin dari identitas, seperti pengguna RAM atau peran instans ECS, atau saat Anda perlu mengakses resource lintas akun. Metode ini memungkinkan identitas yang ada, seperti pengguna RAM, untuk mengasumsikan peran RAM lain dan memperoleh kredensial sementara peran tersebut untuk mengakses resource.

Parameter

Saat Anda mengonfigurasi asumsi peran, parameter berikut didukung:

1. access_key dan secret_key: Menentukan AccessKey pengguna RAM yang mengasumsikan peran tersebut. Pengguna harus memiliki izin sts:AssumeRole. Anda juga dapat mengatur parameter ini menggunakan variabel lingkungan.

2. assume_role: Blok konfigurasi yang mencakup parameter berikut:

Contoh konfigurasi

Otentikasi asumsi peran diimplementasikan dengan memanggil operasi AssumeRole - Memperoleh kredensial sementara untuk peran RAM. Sebelum mengonfigurasi metode ini, siapkan hal berikut:

1. Buat pengguna RAM dan berikan kebijakan AliyunSTSAssumeRoleAccess (atau kebijakan kustom yang berisi izin sts:AssumeRole).

2. Buat AccessKey untuk pengguna RAM tersebut.

3. Buat peran RAM yang entitas tepercayanya adalah akun Alibaba Cloud, berikan izin yang diperlukan (seperti AliyunOSSFullAccess), dan catat ARN-nya.

4. (Opsional) Anda dapat menulis kebijakan RAM kustom. Kebijakan ini digabungkan dengan izin peran untuk kontrol akses yang lebih detail halus.

Setelah persiapan selesai, konfigurasikan blok provider sebagai berikut:

provider "alicloud" {
  # The AccessKey ID of the RAM user that calls AssumeRole.
  access_key = "<AccessKey ID of the RAM user>"
  # The AccessKey secret of the RAM user that calls AssumeRole.
  secret_key = "<AccessKey secret of the RAM user>"
  assume_role {
    role_arn           = "<ARN of a RAM role>"
    policy             = "<Content of a RAM access policy>"
    session_name       = "<Custom role session name>"
    session_expiration = <Maximum validity period of the temporary access credential>
  }
}

Contoh berikut menunjukkan cara memperoleh izin untuk mencantumkan bucket OSS di wilayah Hangzhou menggunakan asumsi peran. Untuk keamanan, access_key dan secret_key dalam contoh diatur menggunakan variabel lingkungan dan tidak ditulis dalam teks biasa di kode:

provider "alicloud" {
  # For security, the access_key and secret_key here are set as environment variables.
  region = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

Jika Anda menjalankan Terraform pada instans ECS, Anda dapat menggunakan peran RAM instans ECS untuk menghindari hardcoding AccessKey. Dalam kasus ini, Anda hanya perlu memberikan kebijakan AliyunSTSAssumeRoleAccess kepada peran RAM yang dilampirkan ke instans ECS. Kode berikut memberikan contoh:

provider "alicloud" {
  ecs_role_name = "<Name of the RAM role attached to the ECS instance>"
  region        = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

Memperoleh kredensial dengan mengakses URI yang ditentukan.

Parameter

Contoh konfigurasi

provider "alicloud" {
  region = "cn-hangzhou"
  credentials_url= "http://credentials.uri/"
}