Object Storage Service:アクセス認証情報の設定 (Android SDK)

前提条件

OSS Android SDK がインストールされていること。「Android SDK のインストール」をご参照ください。

方法 1： AccessKey ペアの使用

Alibaba Cloud アカウントまたは RAM ユーザーの AccessKey ペア (AccessKey ID と AccessKey secret) を使用して、認証情報プロバイダーを初期化します。この方法は、頻繁な認証情報のローテーションなしで長期的な OSS アクセスが必要な、安全で安定した環境に適しています。手動でのキーメンテナンスはセキュリティリスクをもたらし、メンテナンスが複雑になります。AccessKey ペアを取得するには、「CreateAccessKey - Alibaba Cloud アカウントまたは RAM ユーザーの AccessKey ペアの作成」 API を呼び出します。

サンプルコード

String ak = "<ALIBABA_CLOUD_ACCESS_KEY_ID>";
String sk = "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>";

CredentialProvider credentialProvider = new DefaultCredentialProvider(ak, sk);

方法 2： STS トークンの使用

STS からの一時的な認証情報を使用して認証情報プロバイダーを初期化します。これは、一時的な OSS アクセスと、きめ細かいリアルタイムの権限制御を必要とするアプリケーションに適しています。認証情報には、AccessKey ID、AccessKey secret、および STS トークンが含まれます。手動でのトークンメンテナンスはセキュリティリスクをもたらし、メンテナンスが複雑になります。STS トークンを取得するには、「AssumeRole - RAM ロールの一時的な ID 認証情報の取得」 API を呼び出します。

以下の例は、STS トークンを手動または自動で更新する方法を示しています。

String ak = "<ALIBABA_CLOUD_ACCESS_KEY_ID>";
String sk = "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>";
String token = "<ALIBABA_CLOUD_SECURITY_TOKEN>";

CredentialProvider credentialProvider = new OSSStsTokenCredentialProvider(ak, sk, token);

CredentialProvider credentialProvider = new OSSFederationCredentialProvider() {
    @Override
    public OSSFederationToken getFederationToken() {

        /* AccessKey ID、AccessKey secret、STS トークン、および有効期限を取得します。
         * 次の例は、アプリケーションサーバーから認証情報を取得する方法を示しています：
         * URL stsUrl = new URL("<server_url>");
         * HttpURLConnection conn = (HttpURLConnection) stsUrl.openConnection();
         * InputStream input = conn.getInputStream();
         * String jsonText = IOUtils.readStreamAsString(input, OSSConstants.DEFAULT_CHARSET_NAME);
         * JSONObject jsonObjs = new JSONObject(jsonText);
         * String ak = jsonObjs.getString("AccessKeyId");
         * String sk = jsonObjs.getString("AccessKeySecret");
         * String token = jsonObjs.getString("SecurityToken");
         * String expiration = jsonObjs.getString("Expiration");
         */
        String ak = "<ALIBABA_CLOUD_ACCESS_KEY_ID>";
        String sk = "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>";
        String token = "<ALIBABA_CLOUD_SECURITY_TOKEN>";
        String expiration = "<ALIBABA_CLOUD_EXPIRATION>";

        // AccessKey ID、AccessKey secret、STS トークン、および有効期限から OSSFederationToken オブジェクトを構築します。
        OSSFederationToken federationToken = new OSSFederationToken(ak, sk, token, expiration);
        return federationToken;
    }
};

方法 3： CredentialsURI の使用

アプリケーションが柔軟な認証情報管理とキーレスアクセスのために外部システムから認証情報を取得する必要がある場合、CredentialsURI を使用して認証情報プロバイダーを初期化します。基盤となる実装では STS トークンが使用されます。Credentials ツールは、指定された URI を使用して STS トークンを取得し、クライアントを初期化します。これにより、AccessKey ペアや STS トークンを直接提供する必要がなくなります。

remote_url (サンプルコード内の authServerUrl) は、お客様自身がデプロイしたバックエンドサービスから提供される必要があります。これは Alibaba Cloud が提供する URL ではありません。Credentials ツールはこの URL に HTTP GET リクエストを送信し、バックエンドサービスは以下で説明するプロトコルに準拠した一時的な認証情報を返す必要があります。

1. URI は、次のプロトコルに準拠したレスポンスを返す必要があります：

   • レスポンスステータスコード： 200

   • レスポンスボディの構造：

     {
       "StatusCode":200,
       "AccessKeyId":"AccessKeyId",
       "AccessKeySecret":"AccessKeySecret",
       "Expiration":"2015-11-03T09:52:59Z",
       "SecurityToken":"SecurityToken"
     }                    

     レスポンスボディでは、StatusCode はバックエンドサービスによって 200 に設定されます。AccessKeyId、AccessKeySecret、Expiration、および SecurityToken フィールドは、STS の AssumeRole API によって返される Credentials オブジェクトから取得します。バックエンドサービスは AssumeRole を呼び出してこれらの値を取得し、レスポンスボディに含める必要があります。AssumeRole の詳細については、「STS の一時的なアクセス認証情報を使用した OSS へのアクセス」をご参照ください。

   バックエンドサービスのサンプル (Python)：

   from alibabacloud_sts20150401.client import Client as StsClient
   from alibabacloud_sts20150401 import models as sts_models
   import json
   
   def get_credentials():
       request = sts_models.AssumeRoleRequest(
           role_arn='<your_role_arn>',
           role_session_name='<your_session_name>'
       )
       response = sts_client.assume_role(request)
       creds = response.body.credentials
       return json.dumps({
           'StatusCode': 200,
           'AccessKeyId': creds.access_key_id,
           'AccessKeySecret': creds.access_key_secret,
           'Expiration': creds.expiration,
           'SecurityToken': creds.security_token
       })

   バックエンドサービスのサンプル (Node.js)：

   const STS = require("@alicloud/sts20150401");
   const stsClient = new STS.default({
     accessKeyId: "<yourAccessKeyId>",
     accessKeySecret: "<yourAccessKeySecret>",
     endpoint: "sts.aliyuncs.com",
   });
   const result = await stsClient.assumeRole("<roleArn>", "<sessionName>");
   const creds = result.body.credentials;
   res.status(200).json({
     StatusCode: 200,
     AccessKeyId: creds.accessKeyId,
     AccessKeySecret: creds.accessKeySecret,
     Expiration: creds.expiration,
     SecurityToken: creds.securityToken,
   });

2. URI 認証情報をアクセス認証情報として設定します。

   String authServerUrl = "<remote_url>";
   OSSAuthCredentialsProvider credentialProvider = new OSSAuthCredentialsProvider(authServerUrl);
   /* データが暗号化されている場合は、次のコードを使用して復号できます。
    * credentialProvider.setDecoder(new OSSAuthCredentialsProvider.AuthDecoder() {
    *     @Override
    *     public String decode(String data) {
    *         String result = null;
    *         // データを復号します。
    *         // result = ...
    *         return result;
    *     }
    * });
    */