Server Load Balancer:Gerenciamento de credenciais de saída

Etapa 1: Crie uma credencial

No primeiro uso do Gerenciamento de Credenciais, o sistema cria automaticamente a função vinculada ao serviço AliyunServiceRoleForAlbAccessKMS para autorizar o acesso do ALB ao KMS.

1. Acesse a página de Gerenciamento de Credenciais no console do ALB e selecione a região onde seu grupo de servidores está localizado.

2. Clique em Create Credential.

3. Configure os seguintes parâmetros:

   Parâmetro	Descrição
   Credential Type	O padrão é API Key. Insira sua API key. Para usar o tipo AccessKey (exclusivamente no formato AK/SK da Alibaba Cloud), entre em contato com seu gerente de conta.
   Credential Management	Escolha um método de criptografia: Default Encryption: Usa chaves gerenciadas pelo sistema. Gratuito e adequado para a maioria dos cenários. KMS-Managed: Usa suas próprias chaves KMS. Recomendado quando é necessário controle total sobre o ciclo de vida das chaves. Gera cobranças do KMS. Exige a seleção de uma instância KMS que tenha pelo menos um segredo disponível e uma chave mestra.

4. Clique em Create.

   A credencial aparece na lista de Gerenciamento de Credenciais.

Etapa 2: Referenciar a credencial nos serviços de backend

Associe as credenciais a serviços de backend específicos. O ALB inclui automaticamente essas credenciais nas requisições destinadas a tais serviços.

1. Acesse a página de Grupos de Servidores no console do ALB e clique no ID do grupo de servidores MCP desejado para abrir a página de detalhes.

2. Clique em na aba Backend Servers e clique em Add MCP Service.

3. Configure o serviço:

   • Service Type: Selecione REST API.

   • OpenAPI Configuration: Insira as informações da API do serviço de backend.

4. Na seção Outbound Authentication, configure a credencial:

   Configuração	Descrição
   Authentication Method	Selecione API Key, e escolha uma credencial na lista suspensa.
   Credential Location (expanda Advanced Settings)	Especifique como transmitir a credencial: HTTP Header (padrão): Adiciona a credencial aos cabeçalhos HTTP. Personalize o Credential Parameter Name (padrão: Authorization) e o Credential Prefix (padrão: Bearer). Query String: Inclui a credencial nos parâmetros de consulta da URL. Personalize o Credential Parameter Name.

5. Clique em OK.

Resultado: O ALB inclui automaticamente a credencial especificada em todas as requisições enviadas ao serviço de backend. O serviço valida essa credencial para verificar a origem da requisição.

Etapa 3: Gerencie credenciais

Após a criação, gerencie as credenciais na página de Gerenciamento de Credenciais no console do ALB:

• Modify: Atualize os dados da credencial ou o método de criptografia.

• Delete: Remova credenciais desnecessárias. Elimine todas as referências antes da exclusão.

Nota: Ao atualizar os dados de uma credencial, todos os serviços de backend que a referenciam passam a usar imediatamente a nova versão. Nenhuma ação adicional é necessária.

Qual a diferença entre o Gerenciamento de Credenciais e os componentes de autenticação?

Gerenciamento de Credenciais (este recurso): Administra a autenticação de saída, ou seja, as credenciais que o ALB envia aos serviços de backend.

Componentes de autenticação (API key, JWT): Gerenciam a autenticação de entrada, correspondente às credenciais que os clientes enviam ao ALB.

Exemplo de fluxo:

• Cliente → ALB: O componente de autenticação por API key valida as credenciais do cliente.

• ALB → Backend: O Gerenciamento de Credenciais fornece as credenciais do ALB ao backend.