Alibaba Cloud CLI:Alibaba Cloud CLI の高度な資格情報 (OIDC / CloudSSO / External / CredentialsURI / BearerToken) の設定

前提条件

• ACK または ACS クラスターを作成し、ACK または ACS の RRSA 機能を有効化済みであること。

• OIDC ID プロバイダー用の RAM ロールを作成済みであり、その信頼ポリシーによって、ack-rrsa-{cluster-id} の形式でクラスターによって自動的に作成される OIDC ID プロバイダーがロールを引き受けることが許可されていること。

• RRSA を使用して、Pod のサービスアカウントを RAM ロールに関連付けていること。

資格情報の設定

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

設定が完了したら、ポッドで aliyun sts get-caller-identity コマンドを実行し、認証情報が有効であることを検証します。

認証情報の更新

ACK または ACS クラスターは、Pod 内の OIDC トークンファイルを自動的にローテーションします。Alibaba Cloud CLI は、STS の AssumeRoleWithOIDC API を自動的に呼び出し、最新の OIDC トークンを渡して資格情報を更新します。このプロセスはユーザーに対して透過的に行われます。

前提条件

• 所属企業で CloudSSO がデプロイされ、ユーザーディレクトリとアクセス設定が構成済みであること。

• CloudSSO ユーザーに、少なくとも 1 つのアクセス設定が割り当てられていること。

• 管理者から CloudSSO のログイン URL を取得済みであること。URL は通常、https://signin-<region>.alibabacloudsso.com/<directory-name>/login の形式です。CloudSSO ユーザーのログイン URL の取得方法については、「ユーザーポータル URL の取得」をご参照ください。

資格情報の設定

1. 次のコマンドを実行して設定を開始します。<ProfileName> は、SSOProfile などのカスタムプロファイル名に置き換えます。

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. プロンプトに従って、SignIn Url を入力します。

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. 開いたブラウザーウィンドウで、画面の指示に従って CloudSSO ユーザーのログインを完了します。ログイン後、ブラウザーウィンドウを閉じます。

   説明

   ブラウザーウィンドウが開かない場合、またはターミナルのみの環境の場合は、CLI プロンプトから SignIn url と User code をコピーし、ブラウザーに貼り付けてログインを完了します。

   プロンプトの例を次に示します。

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. CLI はログインの成功を示し、アクセス可能なリソースディレクトリの管理アカウントまたはメンバーアカウントを一覧表示します。アクセスしたいアカウントに対応する番号を入力します。

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. CLI は、使用可能な アクセス設定 (ユーザー権限設定) を一覧表示します。使用したいアクセス設定に対応する番号を入力します。

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. デフォルトのリージョンと言語を設定します。例：

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   リージョンの一覧については、「リージョンとアベイラビリティゾーン」をご参照ください。一部のクラウド製品はリージョン固有です。リソースが存在するリージョンをデフォルトに設定することを推奨します。

7. ターミナルに Configure Done とウェルカムメッセージが表示されます。これは、設定が成功したことを示します。

設定が完了したら、aliyun sts get-caller-identity コマンドを実行して、認証情報が有効であることを検証します。

認証情報の更新

CloudSSO 資格情報は自動的に更新されません。有効期限が切れた後、aliyun configure --mode CloudSSO --profile <ProfileName> コマンドを再度実行して設定する必要があります。

前提条件

• 指定された JSON 形式の資格情報を標準出力 (stdout) に出力できる実行可能なプログラムまたはスクリプトがあること。必要な形式は次のとおりです。

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  STS トークン

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• プログラムはステータスコード 0 で終了する必要があります。ゼロ以外の終了コードは失敗を示します。

資格情報の設定

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

設定が完了したら、aliyun sts get-caller-identity コマンドを実行して、認証情報が有効であることを検証します。

認証情報の更新

External 方式を使用する場合、CLI は資格情報をキャッシュしたり、自動的に更新したりしません。CLI は、資格情報が必要になるたびに外部プログラムを再実行します。外部プログラムが更新ロジックを実装する責任を負います。

前提条件

HTTP 200 ステータスコードで、指定された JSON 形式の資格情報レスポンスを返すことができる HTTP または HTTPS エンドポイントがあること。レスポンスボディは、次の JSON 形式である必要があります。

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

資格情報の設定

認証情報の更新

資格情報の有効期限が切れると、CLI は自動的に新しい HTTP GET リクエストをエンドポイントに送信して、新しい資格情報を取得します。このプロセスはユーザーに対して透過的に行われます。HTTP エンドポイントは、リクエストごとに有効な STS トークンを返す必要があります。

前提条件

• 対象サービスによって発行された Bearer Token を取得済みであること。

• 対象製品の CLI プラグインをインストール済みであること: aliyun plugin install --name <plugin-name>。

資格情報の設定

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

設定が完了したら、次のコマンドを実行して、製品プラグインを介して対象製品の API を呼び出し、資格情報が有効であることを確認します。

aliyun <command> <sub-command> --profile BearerProfile

環境変数

BearerToken 方式は、資格情報パラメーターを設定するために次の環境変数をサポートします。