Alibaba Cloud SDK:アクセス認証情報を管理する

背景情報

Alibaba Cloud SDK を使用して開発を行う場合は、ビジネス シナリオと権限制御の要件に基づいて適切な認証情報タイプを構成します。開発者が安定した信頼性の高いアプリケーションを構築できるように、適切な環境変数または構成ファイルを構成して、SDK が認証情報を読み取って使用できるようにする必要があります。

前提条件

• Go 1.10.x 以降を使用している。

• Go 用 Alibaba Cloud SDK のコア ライブラリがインストールされている。

  go get -u github.com/aliyun/alibaba-cloud-sdk-go/sdk

認証情報クライアントを初期化する

方法 1：デフォルトの認証情報プロバイダー チェーンを使用する

SDK クライアントを初期化する方法を指定しない場合は、デフォルトの認証情報プロバイダー チェーンが使用されます。詳細については、このトピックのデフォルトの認証情報プロバイダー チェーンセクションをご参照ください。

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials/provider"
)

func main() {

    config := sdk.NewConfig()
    
    // このパラメーターには値が指定されていません。
    credential := credentials.NewDefaultCredentialsProvider()
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    // API オペレーションを呼び出す手順は省略されています。
}

方法 2：AccessKey ペアを使用する

Alibaba Cloud アカウントと Resource Access Management (RAM) ユーザーの API を呼び出すための AccessKey ペアを作成できます。 AccessKey ペアを使用して、SDK クライアントを初期化できます。

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    credential, err := credentials.NewStaticAKCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")：環境変数から RAM ユーザーの AccessKey ID を取得します。
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")：環境変数から RAM ユーザーの AccessKey シークレットを取得します。
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // API オペレーションを呼び出す手順は省略されています。
}

方法 3：STS トークンを使用する

ビジネスのセキュリティを確保するために、Security Token Service (STS) から一時的なセキュリティ認証情報 (TSC) を申請して、一時的なクライアントを作成できます。

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    credential, err := credentials.NewStaticSTSCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")：環境変数から RAM ユーザーの AccessKey ID を取得します。
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	// os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")：環境変数から RAM ユーザーの AccessKey シークレットを取得します。
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
        // os.Getenv("ALIBABA_CLOUD_SECURITY_TOKEN")：環境変数から STS トークンを取得します。
	WithSecurityToken(os.Getenv("ALIBABA_CLOUD_SECURITY_TOKEN")).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // API オペレーションを呼び出す手順は省略されています。
}

方法 4：AccessKey ペアと RAM ロールを使用する

RAM ロールの Alibaba Cloud Resource Name (ARN) を指定して、SDK クライアントを初期化できます。 SDK クライアントは、API リクエストを送信する前に、STS API を呼び出して STS トークンを取得する必要があります。 STS トークンの権限を制限するには、RAM でカスタム ポリシーを構成します。

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()
    
    credential, err := credentials.NewRAMRoleARNCredentialsProviderBuilder().
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"): 必須。環境変数から RAM ユーザーの AccessKey ID を取得します。
	WithAccessKeyId(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")).
	// os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"): 必須。環境変数から RAM ユーザーの AccessKey シークレットを取得します。
	WithAccessKeySecret(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")).
	// "<Role_Arn>" 必須。RAM ロールの ARN。RAM ロールの ARN は、RAM コンソールで取得できます。例：acs:ram::123456789012****:role/adminrole。
	WithRoleArn("<Role_Arn>").
	// "<ROLE_SESSION_NAME>" 必須。異なるセッションを区別するために使用されるロール セッションの名前。例：alice。
	WithRoleSessionName("<ROLE_SESSION_NAME>").
	// "<POLICY>": ロールのセッション権限を制限するためのカスタム ポリシーを指定します。例：{\"Statement\": [{\"Action\": [\"*\"],\"Effect\": \"Allow\",\"Resource\": [\"*\"]}],\"Version\":\"1\"}。
	WithPolicy("<POLICY>").
	// "<EXTERNAL_ID>": 代理と混同される場合に備えて、ロールの外部 ID を指定します。例：abcd1234。
	WithExternalId("<EXTERNAL_ID>").
	// <ROLE_SESSION_EXPIRATION>: トークンの有効期間。例：3600。
	WithDurationSeconds(3600).
	Build()
    if err != nil {
	panic(err)
    }
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // API オペレーションを呼び出す手順は省略されています。
}

方法 5：ECS インスタンスの RAM ロールを使用する

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    
    config := sdk.NewConfig()
    
    // STS トークンを使用して SDK クライアントを初期化します。 STS トークンは、ECS インスタンスにアタッチされている RAM ロールを使用して取得されます。
    // この方法は、ECS インスタンス上で実行され、他の Alibaba Cloud リソースにアクセスする必要があるプログラムに適しています。
   credential, err := credentials.NewECSRAMRoleCredentialsProviderBuilder().
	// "<ROLE_NAME>": 使用する RAM ロールの名前を指定します。環境変数 ALIBABA_CLOUD_ECS_METADATA で roleName パラメーターのデフォルト値を指定できます。例：alice。
	WithRoleName(os.Getenv("ALIBABA_CLOUD_ECS_METADATA")).
	// true の値は、セキュリティ強化モードが強制的に使用されることを指定します。デフォルト値は false で、システムが最初にセキュリティ強化モードでアクセス認証情報を取得しようとすることを指定します。アクセス認証情報を取得できない場合は、通常モードが使用されます。
	//WithDisableIMDSv1(true).
	Build()
    if err != nil {
	panic(err)
    }
    
   // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
   client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
   if err != nil {
	panic(err)
   }
   
   // API オペレーションを呼び出す手順は省略されています。
}

方法 6：OIDC IdP の RAM ロールを使用する

package main

import (
	"os"

	"github.com/aliyun/alibaba-cloud-sdk-go/sdk"
	"github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    // OIDC ID プロバイダー (IdP) の RAM ロールを使用して、SDK クライアントを初期化します。
    credential, err := credentials.NewOIDCCredentialsProviderBuilder().
	// ALIBABA_CLOUD_OIDC_PROVIDER_ARN 環境変数を指定して、OIDC IdP の ARN を指定します。
	WithOIDCProviderARN(os.Getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN")).
	// ALIBABA_CLOUD_OIDC_TOKEN_FILE 環境変数を指定して、OIDC トークン ファイルのパスを指定します。
	WithOIDCTokenFilePath(os.Getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE")).
	// "<Role_Arn>" 必須。RAM ロールの ARN。RAM ロールの ARN は、RAM コンソールで取得できます。例：acs:ram::123456789012****:role/adminrole。
	WithRoleArn("<Role_Arn>").
	// "<ROLE_SESSION_NAME>" 必須。ロール セッションの名前を指定します。例：alice。
	WithRoleSessionName("<ROLE_SESSION_NAME>").
	// "<POLICY>": オプション。RAM ロールに制限付き権限を付与します。例：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}。
	WithPolicy("<POLICY>").
	// <ROLE_SESSION_EXPIRATION>: セッションの有効期間を指定します。例：3600。
	WithDurationSeconds(3600).
	Build()
     if err != nil {
	 panic(err)
    }   
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	 panic(err)
    }
    
    // API オペレーションを呼び出す手順は省略されています。
}

方法 7：ベアラ トークンを使用する

Cloud Call Centerのみ、ベアラ トークンを使用して SDK クライアントを初期化できます。

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {

    config := sdk.NewConfig()

    // <BEARER_TOKEN> は、API 呼び出しの認証方式のタイプを指定します。
    credential := credentials.NewBearerTokenCredentialsProvider("<BEARER_TOKEN>")
    
    // <REGION_ID>: SDK クライアントがアクセスする必要がある Alibaba Cloud リージョンを指定します。例：cn-hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credential)
    if err != nil {
	panic(err)
    }
    
    // API オペレーションを呼び出す手順は省略されています。
}

デフォルトの認証情報プロバイダー チェーン

開発環境と本番環境で異なるタイプの認証情報を使用する場合、通常はコードから環境情報を取得し、コード ブランチを作成して、開発環境と本番環境で異なる認証情報を取得する必要があります。認証情報ツールのデフォルトの認証情報プロバイダー チェーンを使用すると、アプリケーションとは独立した構成に基づいて、同じコードを使用して異なる環境の認証情報を取得できます。 credentials.NewDefaultCredentialsProvider() を使用して初期化方法を指定せずに認証情報クライアントを初期化すると、認証情報ツールは次の順序で認証情報を取得します。

1. 環境変数から認証情報を取得する

2. OIDC IdP の RAM ロールを使用して認証情報を取得する

3. config.json ファイルから認証情報を取得する

{
	"current": "default",
	"profiles": [
		{
			"name": "default",
			"mode": "AK",
			"access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>"
		},
		{
			"name":"client1",
			"mode":"RamRoleArn",
			"access_key_id":"<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret":"<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client2",
			"mode":"EcsRamRole",
			"ram_role_name":"<RAM_ROLE_ARN>"
		},
		{
			"name":"client3",
			"mode":"OIDC",
			"oidc_provider_arn":"<OIDC_PROVIDER_ARN>",
			"oidc_token_file":"<OIDC_TOKEN_FILE>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client4",
			"mode":"ChainableRamRoleArn",
			"source_profile":"<PROFILE_NAME>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		}
	]
}

4. ECS インスタンスの RAM ロールから認証情報を取得する

5. 認証情報 URI を使用する