Alibaba Cloud SDK:アクセスクレデンシャルの管理

方法 1: デフォルトの認証情報プロバイダーチェーン

設定パラメーターを渡さずに Credentials ツールを使用すると、ツールはデフォルトの認証情報プロバイダーチェーンから認証情報を取得し、それらをアクセス認証情報として使用します。このメソッドを使用する場合、デフォルトの認証情報プロバイダーチェーンでサポートされている認証情報取得方法がアプリケーション実行環境で設定されていることを確認する必要があります。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        // 設定パラメーターを指定しません。認証情報は、デフォルトの認証情報プロバイダーチェーンから取得されます。
        Client credentialClient = new Client();
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();


        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 2: AccessKey ペア

Credentials ツールは、AccessKey をアクセス認証情報として使用します。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("access_key");
        // 必須。この例では、環境変数から AccessKey ID を取得する方法を示します。
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // 必須。この例では、環境変数から AccessKey Secret を取得する方法を示します。
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        Client credentialClient = new Client(credentialConfig);
                
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();

        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 3: STS トークン

Credentials ツールは、提供された静的な STS トークンをアクセス認証情報として使用します。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) {
        Config credentialConfig = new Config();
        credentialConfig.setType("sts");
        // 必須。この例では、環境変数から AccessKey ID を取得する方法を示します。
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // 必須。この例では、環境変数から AccessKey Secret を取得する方法を示します。
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        // 必須。この例では、環境変数から一時的なセキュリティトークンを取得する方法を示します。
        credentialConfig.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();

        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 4: AccessKey ペアと RamRoleArn

Credentials ツールは、提供された AccessKey ペアと RAM ロール ARN を使用して AssumeRole 操作を呼び出し、STS トークンを取得します。このトークンは、アクセス認証情報として使用されます。この方法で取得した認証情報は、自動更新をサポートします。詳細については、「セッション認証情報の自動更新メカニズム」をご参照ください。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ram_role_arn");
        // 必須。この例では、環境変数から AccessKey ID を取得する方法を示します。
        credentialConfig.setAccessKeyId(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"));
        // 必須。この例では、環境変数から AccessKey Secret を取得する方法を示します。
        credentialConfig.setAccessKeySecret(System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
        // オプション。一時的な認証情報を使用して、別の RAM ロールを偽装できます。
        credentialConfig.setSecurityToken(System.getenv("ALIBABA_CLOUD_SECURITY_TOKEN"));
        // 必須。偽装する RAM ロールの ARN。例: acs:ram::123456789012****:role/adminrole。このパラメーターは、ALIBABA_CLOUD_ROLE_ARN 環境変数を使用して設定できます。
        credentialConfig.setRoleArn("<RoleArn>");
        // オプション。ロールセッションの名前。デフォルトのフォーマットは credentials-java-current timestamp です。このパラメーターは、ALIBABA_CLOUD_ROLE_SESSION_NAME 環境変数を使用して設定できます。
        credentialConfig.setRoleSessionName("<RoleSessionName>");
        // オプション。より制限の厳しいポリシーを指定します。例: {"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}。
        credentialConfig.setPolicy("<Policy>");
        // オプション。ロールの外部 ID。このパラメーターは、confused deputy 問題を防ぐために使用されます。
        credentialConfig.setExternalId("<ExternalId>");
        // オプション。セッションの有効期間。デフォルト値: 3600 秒。
        credentialConfig.setRoleSessionExpiration(3600);
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();

        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 5: インスタンス RAM ロール

アプリケーションが RAM ロールを付与された ECS または ECI インスタンスで実行されている場合、Credentials ツールはインスタンスメタデータから RAM ロールの STS トークンを取得し、それをアクセス認証情報として使用できます。インスタンスメタデータにアクセスする際、アプリケーションはまず現在のインスタンスに付与されている RAM ロールの名前を取得し、そのロールに基づいて対応する STS トークンを取得します。roleName パラメーターまたは ALIBABA_CLOUD_ECS_METADATA 環境変数を使用して RAM ロール名を指定することで、認証情報を取得するために必要な時間を短縮し、効率を向上させることができます。この方法で取得した認証情報は、自動更新をサポートします。詳細については、「セッション認証情報の自動更新メカニズム」をご参照ください。

デフォルトでは、Credentials ツールはセキュリティ強化モード (IMDSv2) を使用してインスタンスメタデータにアクセスします。セキュリティ強化モードで例外が発生した場合、disableIMDSv1 パラメーターまたは ALIBABA_CLOUD_IMDSV1_DISABLED 環境変数を使用して例外処理ロジックを制御できます:

• 値が false (デフォルト) の場合、システムは一般モードに切り替えて認証情報の取得を続行しようとします。

• 値が true の場合、セキュリティ強化モードのみを使用して認証情報を取得できます。このモードでのアクセスが失敗すると、例外がスローされます。

サーバーが IMDSv2 をサポートするかどうかは、サーバーの設定によって異なります。

さらに、ALIBABA_CLOUD_ECS_METADATA_DISABLED=true 環境変数を設定することで、インスタンスメタデータからの認証情報アクセスを無効にできます。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ecs_ram_role");
        // オプション。ECS インスタンスに付与された RAM ロールの名前。このパラメーターを設定しない場合、名前は自動的に取得されます。リクエスト数を減らすために、このパラメーターを設定することを推奨します。このパラメーターは、ALIBABA_CLOUD_ECS_METADATA 環境変数を使用して設定できます。
        credentialConfig.setRoleName("<RoleName>");
        // オプション。true の値は、セキュリティ強化モードが強制的に使用されることを示します。デフォルト値: false。システムはまずセキュリティ強化モードで認証情報を取得しようとします。試行が失敗した場合、システムは通常モードに切り替わります。
        credentialConfig.setDisableIMDSv1(false);
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        
        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 6: OIDCRoleArn

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("oidc_role_arn");
        // 必須。RAM ロールの ARN。このパラメーターは、ALIBABA_CLOUD_ROLE_ARN 環境変数を使用して設定できます。
        credentialConfig.setRoleArn("<RoleArn>");
        // 必須。OIDC IdP の ARN。このパラメーターは、ALIBABA_CLOUD_OIDC_PROVIDER_ARN 環境変数を使用して設定できます。
        credentialConfig.setOidcProviderArn("<OidcProviderArn>");
        // 必須。OIDC トークンファイルのパス。このパラメーターは、ALIBABA_CLOUD_OIDC_TOKEN_FILE 環境変数を使用して設定できます。
        credentialConfig.setOidcTokenFilePath("<OidcTokenFilePath>");
        // オプション。ロールセッションの名前。このパラメーターは、ALIBABA_CLOUD_ROLE_SESSION_NAME 環境変数を使用して設定できます。
        credentialConfig.setRoleSessionName("<RoleSessionName>");
        // オプション。より制限の厳しいポリシーを指定します。例: {"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
        credentialConfig.setPolicy("<Policy>");
        // オプション。セッションの有効期間。デフォルト値: 3600 秒。
        credentialConfig.setRoleSessionExpiration(3600);
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        
        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 7: URI 認証情報

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("credentials_uri");
        // 必須。外部認証情報を取得するための URI。フォーマットは http://local_or_remote_uri/ です。このパラメーターは、ALIBABA_CLOUD_CREDENTIALS_URI 環境変数を使用して設定できます。
        credentialConfig.setCredentialsUri("<CredentialsUri>");
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        
        // Alibaba Cloud サービスの V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

方法 8: ベアラートークン

現在、ベアラートークンをサポートしているのは Cloud Call Center (CCC) のみです。

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;
import com.aliyun.credentials.models.CredentialModel;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("bearer");
        // 必須。ベアラートークンを入力してください。
        credentialConfig.setBearerToken("<BearerToken>");
        Client credentialClient = new Client(credentialConfig);
        
        CredentialModel credential = credentialClient.getCredential();
        String accessKeyId = credential.getAccessKeyId();
        String accessKeySecret = credential.getAccessKeySecret();
        String securityToken = credential.getSecurityToken();
        
        // CCC の V2.0 SDK を使用する場合は、com.aliyun.teaopenapi.models.Config を使用して認証情報を渡します。
        com.aliyun.teaopenapi.models.Config config = new com.aliyun.teaopenapi.models.Config();
        config.setCredential(credentialClient);
        config.setEndpoint("<Endpoint>");
        // config を使用してクラウドサービスクライアントを初期化するコードは省略されています。
    }
}

1. システムプロパティ

Credentials ツールは、まずシステムプロパティから認証情報を取得しようとします。

• `alibabacloud.accessKeyId` と `alibabacloud.accessKeySecret` がシステムプロパティで定義されている場合、AccessKey ペアがデフォルトの認証情報として使用されます。

• `alibabacloud.accessKeyId`、`alibabacloud.accessKeySecret`、および `alibabacloud.sessionToken` がシステムプロパティで定義されている場合、STS トークンがデフォルトの認証情報として使用されます。

Java プログラムを実行する際に、次の JVM パラメーターを追加してこれらの値を指定できます:

-Dalibabacloud.accessKeyId=your-access-key-id -Dalibabacloud.accessKeySecret=your-access-key-secret

2. 環境変数

3. OIDC RAM ロール

4. config.json 設定ファイル

{
  "current": "<PROFILE_NAME>",
  "profiles": [
    {
      "name": "<PROFILE_NAME>",
      "mode": "AK",
      "access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>"
    },
    {
      "name": "<PROFILE_NAME1>",
      "mode": "StsToken",
      "access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
      "sts_token": "<SECURITY_TOKEN>"
    },
    {
      "name":"<PROFILE_NAME2>",
      "mode":"RamRoleArn",
      "access_key_id":"<ALIBABA_CLOUD_ACCESS_KEY_ID>",
      "access_key_secret":"<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    },
    {
      "name":"<PROFILE_NAME3>",
      "mode":"EcsRamRole",
      "ram_role_name":"<RAM_ROLE_ARN>"
    },
    {
      "name":"<PROFILE_NAME4>",
      "mode":"OIDC",
      "oidc_provider_arn":"<OIDC_PROVIDER_ARN>",
      "oidc_token_file":"<OIDC_TOKEN_FILE>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    },
    {
      "name":"<PROFILE_NAME5>",
      "mode":"ChainableRamRoleArn",
      "source_profile":"<PROFILE_NAME>",
      "ram_role_arn":"<ROLE_ARN>",
      "ram_session_name":"<ROLE_SESSION_NAME>",
      "expired_seconds":3600
    }
  ]
}

5. インスタンス RAM ロール

6. CredentialsURI

セッション認証情報には、ram_role_arn、ecs_ram_role、oidc_role_arn、および credentials_uri が含まれます。このタイプの認証情報には、Credentials ツールに組み込みの自動更新メカニズムがあります。認証情報クライアントが初めて認証情報を取得した後、Credentials ツールは認証情報をキャッシュに保存します。後続のリクエストでは、同じ認証情報クライアントインスタンスが自動的にキャッシュから認証情報をフェッチします。キャッシュ内の認証情報の有効期限が切れている場合、認証情報クライアントインスタンスは認証情報を再取得し、キャッシュを更新します。

次の例では、シングルトンパターンで認証情報クライアントを作成します。クライアントは、異なる時点で認証情報を取得して自動更新メカニズムを検証し、OpenAPI 操作を呼び出して取得した認証情報が有効であることを確認します。

以下にログ結果の分析を示します:

• 最初の呼び出しでは、認証情報がキャッシュされていません。そのため、システムは設定に基づいて認証情報を取得します。認証情報が取得されると、キャッシュに保存されます。

• 2 回目の呼び出しで使用される認証情報は、最初の呼び出しと同じです。これは、2 回目の呼び出しの認証情報がキャッシュから取得されたことを示します。

• 3 回目の呼び出しでは、キャッシュ内の認証情報の有効期限が切れています。これは、認証情報の有効期間 (`RoleSessionExpiration`) が 3,600 秒に設定されており、3 回目の呼び出しが最初の呼び出しから 4,200 秒後に発生するためです。したがって、SDK は自動更新メカニズムに基づいて新しい認証情報を再取得し、新しい認証情報をキャッシュに保存します。

• 4 回目の呼び出しで使用される認証情報は、3 回目の呼び出しで取得された新しい認証情報と同じです。これは、キャッシュ内の認証情報が有効期限切れ後に更新されたことを示します。