Crie um par de AccessKey para um usuário do Resource Access Management (RAM) ou para uma conta Alibaba Cloud, a fim de autenticar o acesso programático às APIs da Alibaba Cloud.
O que é um par de AccessKey?
Um par de AccessKey é composto por um AccessKey ID e um AccessKey secret, usados em conjunto para autenticar solicitações programáticas à Alibaba Cloud.
AccessKey ID: O identificador público e exclusivo do seu par de AccessKey.
AccessKey secret: A chave privada usada para assinar solicitações de API. A assinatura verifica a autenticidade e a integridade da solicitação. Mantenha o AccessKey secret estritamente confidencial.
Para reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado.
Como usar um par de AccessKey
Use um par de AccessKey para chamar as APIs da Alibaba Cloud por meio do CLI, SDKs ou Terraform.
A Alibaba Cloud também oferece alternativas mais seguras baseadas em credenciais de segurança temporárias (tokens STS). Para obter detalhes, consulte Application development scenarios.
Caso seja necessário usar um par de AccessKey, consulte a seguinte prática recomendada: Properly store and use unavoidable AccessKey pairs.
Como funciona um par de AccessKey
O Resource Access Management (RAM) gera o AccessKey ID e o AccessKey secret de forma algorítmica. A Alibaba Cloud os criptografa durante o armazenamento e a transmissão.
Ao enviar uma solicitação, a aplicação inclui o AccessKey ID e uma assinatura derivada do AccessKey secret. A Alibaba Cloud usa esses dados para autenticar o remetente e verificar a integridade da solicitação. Para obter mais informações sobre o mecanismo de assinatura utilizado pela Alibaba Cloud, consulte Request body and signature mechanism for V3.
Criar um AccessKey para um usuário RAM
Execute as etapas a seguir como administrador RAM (um usuário com a política AliyunRAMFullAccess). Se não houver usuários RAM na sua conta, consulte Create a RAM user.
As etapas para um usuário RAM criar seu próprio par de AccessKey são as mesmas de creating an AccessKey pair for an Alibaba Cloud account. Para que um usuário RAM possa criar seu próprio par de AccessKey, o proprietário da conta Alibaba Cloud deve ativar a opção Allow users to manage AccessKey. Caso contrário, o usuário RAM não verá a opção para criar uma chave. Para obter mais informações, consulte Manage security settings for RAM users.
Console
Acesse o RAM console. No painel de navegação à esquerda, escolha .
Na lista de usuários, localize o RAM User e clique no nome de usuário.
-
Na aba Credential, na seção AccessKey, clique em Create AccessKey.
NotaCada usuário RAM pode ter no máximo dois pares de AccessKey. Um é para uso ativo e o segundo para rotação.
Na caixa de diálogo exibida, leia os casos de uso e as recomendações. Siga as recomendações para escolher uma solução de credencial mais adequada. Se precisar criar um par de AccessKey, selecione um caso de uso, marque a caixa de seleção I confirm that it is necessary to create an AccessKey e clique em Continue. O caso de uso selecionado não afeta o par de AccessKey criado.
Conclua a verificação de segurança conforme solicitado.
-
Na caixa de diálogo Create AccessKey, salve o AccessKey ID e o AccessKey secret e clique em OK.
(Opcional) Configure uma política de ACL de rede para o AccessKey: é possível restringir os endereços IP de origem das solicitações de API que utilizam este par de AccessKey. Isso melhora a segurança ao garantir que o par de AccessKey seja usado apenas em ambientes de rede confiáveis. Recomendamos clicar em Configure network access policy para definir os ambientes de rede confiáveis para este par de AccessKey. Para obter mais informações, consulte Configure an AccessKey network ACL policy for a RAM user.
Nas recomendações de segurança, também é possível definir o tempo máximo de inatividade para o par de AccessKey (recomendado: desativação automática após 90 dias de inatividade). Clique em Go to Settings para configurar.
ImportantePara reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado.
API
Chame a operação CreateAccessKey e especifique o seguinte parâmetro:
UserPrincipalName: O nome de logon do usuário RAM, por exemplo, test@example.onaliyun.com. O nome de logon pode ser encontrado no RAM console.
Para reduzir o risco de vazamento, o AccessKey secret é retornado apenas na resposta da operação CreateAccessKey. Não é possível recuperá-lo novamente.
Criar um AccessKey para uma conta Alibaba Cloud (Não recomendado)
Salvo necessidade absoluta, recomendamos fortemente que você não crie nem use um par de AccessKey para sua conta Alibaba Cloud. Antes de prosseguir, avalie se é possível usar o par de AccessKey de um usuário RAM.
Acesse o Alibaba Cloud console com sua conta Alibaba Cloud.
Passe o cursor sobre a foto do seu perfil no canto superior direito e clique em AccessKey.
Na caixa de diálogo We do not recommend that you use the AccessKey of your Alibaba Cloud account, leia os riscos de criar um par de AccessKey para sua conta Alibaba Cloud. Se precisar prosseguir, marque a caixa de seleção I am aware of the security risks of using a main account AccessKey. e clique em Continue to use the AccessKey of my Alibaba Cloud account.
-
Na página AccessKey, clique em Create AccessKey.
NotaUma conta Alibaba Cloud pode ter no máximo dois pares de AccessKey. Um é para uso ativo e o segundo para rotação.
Na caixa de diálogo Create Main Account AccessKey, revise novamente os riscos e as limitações. Se tiver certeza de que deseja criar o par de AccessKey, marque a caixa de seleção I am aware of the security risks of using a main account AccessKey. e clique em Continue to use the AccessKey of my Alibaba Cloud account.
-
Na caixa de diálogo Create AccessKey, salve o AccessKey ID e o AccessKey secret. Em seguida, marque a caixa de seleção I have saved the AccessKey Secret e clique em OK.
(Recomendado) Configure uma política de ACL de rede para o AccessKey: é possível restringir os endereços IP de origem das solicitações de API que utilizam este par de AccessKey. Isso melhora a segurança ao garantir que o par de AccessKey seja usado apenas em ambientes de rede confiáveis. Recomendamos clicar em Configure network access policy para definir os ambientes de rede confiáveis para este par de AccessKey. Para obter mais informações, consulte Configure an AccessKey network ACL policy for an Alibaba Cloud account.
ImportantePara reduzir o risco de vazamento, o AccessKey secret de uma conta Alibaba Cloud é exibido apenas no momento da criação e não pode ser recuperado.