Resource Access Management:Configure OAuth for Alibaba Cloud CLI

Visão geral

O Alibaba Cloud CLI v3.0.299 e versões posteriores suportam OAuth como tipo de credencial. O OAuth utiliza um login interativo via navegador, baseado no OAuth 2.0 PKCE flow, para obter um token de acesso aos recursos da Alibaba Cloud.

Vantagens em relação à autenticação por par de AccessKey:

• Maior segurança: Elimina pares de AccessKey em texto simples nos arquivos de configuração local, reduzindo o risco de vazamento de credenciais.

• Integração com autenticação existente: Compatível com passkeys, MFA e SSO (baseado em usuário e em função).

Pré-requisitos

Verifique se os seguintes requisitos foram atendidos:

• Versão da CLI: Alibaba Cloud CLI v3.0.299 ou posterior instalada.

• Permissões de administrador: O administrador do RAM que realiza a configuração inicial possui a permissão AliyunRAMFullAccess.

• Ambiente: A CLI e o navegador devem ser executados no mesmo dispositivo. Ambientes headless (como terminais Linux conectados via SSH) não são suportados.

Procedimento

1. An administrator creates the CLI application. Um administrador do RAM cria o aplicativo da CLI no RAM usando um dos dois métodos:

   • Criação mediante consentimento do administrador. Um administrador do RAM inicia o primeiro login OAuth pela CLI e concede consentimento no navegador. O sistema cria automaticamente um aplicativo OAuth chamado official-cli.

   • Provisionamento pelo console. Um administrador do RAM provisiona o aplicativo official-cli diretamente no console do RAM, ignorando a etapa de consentimento.

2. An administrator assigns identities. Um administrador do RAM (exceto a conta raiz) atribui usuários ou funções do RAM ao aplicativo. Somente identidades atribuídas podem fazer login via OAuth.

3. A user authorizes and signs in to the CLI. O usuário do RAM atribuído executa o comando de configuração, que abre o navegador. Após o login e a concessão de autorização, a CLI obtém um token para concluir a autenticação.

Etapa 1: Criar o aplicativo da CLI

Um administrador do RAM com permissões AliyunRAMFullAccess executa esta etapa.

Etapa 2: Atribuir identidades

Se você criou o aplicativo da CLI mediante consentimento do administrador, será solicitado a atribuir usuários após a autorização. Se provisionou o aplicativo pelo console, pule a etapa 1.

1. Clique em Go now. A página redireciona para os detalhes do aplicativo OAuth no console do RAM.

   

   Alternativamente, faça login no console do RAM, acesse Integrations > OAuth Application, clique na aba Third-party Application e, na lista Third-party Application, localize e clique no aplicativo official-cli.

2. Na página de detalhes do aplicativo official-cli, clique na aba Allowed Identities e, em seguida, clique em Add Users or roles.

3. No painel Add Users or roles, selecione os usuários ou funções do RAM a serem autorizados e clique em OK.

Etapa 3: Autorizar e fazer login na CLI

Um usuário do RAM atribuído ao aplicativo official-cli executa esta etapa em seu próprio dispositivo.

1. Selecione o modo de autenticação OAuth. Execute o comando a seguir para iniciar a configuração do login OAuth.

   aliyun configure --profile OAuthProfile --mode OAuth

2. Selecione o site de login. Quando solicitado, selecione CN ou INTL.

3. Faça login como usuário. Na janela do navegador que se abre, faça login com sua identidade de usuário do RAM.

4. Forneça a autorização do usuário. Na página User Authorization, clique em Grants. A autorização do usuário é necessária apenas no primeiro login. Logins subsequentes pulam esta etapa, a menos que o aplicativo official-cli seja excluído.

   

   Login com uma função. Também é possível fazer login com uma função do RAM. Use o SSO baseado em função do seu IdP ou faça login no console e switch role. Após estabelecer a sessão da função, execute o comando de configuração. A CLI utiliza essa sessão ativa para concluir a autenticação.

   Nota

   O consentimento do administrador e a autorização do usuário têm finalidades diferentes. A autorização do usuário é necessária mesmo após a concessão do consentimento do administrador.

   • Consentimento do administrador: Registra o aplicativo official-cli na sua conta Alibaba Cloud e permite que as identidades atribuídas o acessem.

   • Autorização do usuário: Concede à CLI permissão para acessar recursos da Alibaba Cloud ou executar ações específicas em nome do usuário.

5. Defina a região padrão. Após o sucesso da autorização, retorne ao terminal e insira uma região padrão.

   Default Region Id []: cn-hangzhou

   Default Region Id []: ap-southeast-1

   Nota

   Alguns product da cloud não suportam acesso entre region. Defina a região padrão como aquela onde seus recursos estão localizados.

6. Quando o terminal exibir Configure Done e uma mensagem de boas-vindas, a configuração estará concluída.

7. (Opcional) Verifique a identidade conectada. Execute o comando a seguir para verificar a identidade atual da CLI:

   aliyun sts get-caller-identity --profile OAuthProfile

Limitações

• O aplicativo official-cli não pode ser atribuído a um grupo de usuários. Atribua-o a usuários ou funções específicos do RAM.

• A CLI e o navegador devem ser executados no mesmo dispositivo. Ambientes headless (como servidores Linux conectados via SSH) não são suportados.

Solução de problemas

Referências

• Instale o Alibaba Cloud CLI no Linux

• Atualize o Alibaba Cloud CLI

• Configure as credenciais do Alibaba Cloud CLI