Um par de AccessKey é uma credencial de segurança para acessar recursos da Alibaba Cloud por meio de operações de API. Use-o para assinar solicitações de API e autenticar o acesso.
O que é um par de AccessKey?
O par de AccessKey é uma credencial de segurança de longo prazo fornecida pela Alibaba Cloud para autenticar solicitações programáticas. Ele consiste em um AccessKey ID e um AccessKey secret.
AccessKey ID: identificador público e exclusivo do seu par de AccessKey.
AccessKey secret: chave privada usada para assinar solicitações de API. A assinatura verifica a autenticidade e a integridade da solicitação. Mantenha seu AccessKey secret em total sigilo.
Para reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado.
Como usar um par de AccessKey
Use essa credencial para chamar APIs da Alibaba Cloud de forma programática com ferramentas como CLI, SDKs ou Terraform.
A Alibaba Cloud oferece alternativas mais seguras que usam credenciais de segurança temporárias (tokens STS) em vez de pares de AccessKey. Para casos de uso específicos, consulte Cenários de desenvolvimento de aplicações.
Se for indispensável criar e usar um par de AccessKey, siga esta prática recomendada: Armazenar e usar adequadamente pares de AccessKey inevitáveis.
Como funciona um par de AccessKey
O Resource Access Management (RAM) gera o AccessKey ID e o AccessKey secret usando um algoritmo específico. A Alibaba Cloud criptografa esses dados tanto no armazenamento quanto na transmissão.
Quando uma aplicação usa um par de AccessKey para fazer uma solicitação, ela inclui o AccessKey ID e uma assinatura gerada com o AccessKey secret para criptografar o conteúdo da solicitação. Ao receber a solicitação, a Alibaba Cloud autentica a identidade do remetente e verifica a integridade dos dados. Para mais informações sobre o mecanismo de assinatura usado, consulte Corpo da solicitação e mecanismo de assinatura para V3.
Criar um AccessKey para um usuário RAM
Execute as etapas a seguir como administrador do RAM (um usuário com a política AliyunRAMFullAccess). Se sua conta não tiver usuários RAM, consulte Criar um usuário RAM.
As etapas para um usuário RAM criar seu próprio par de AccessKey são as mesmas descritas em criar um par de AccessKey para uma conta Alibaba Cloud. Antes que um usuário RAM possa criar seu próprio par de AccessKey, o titular da conta Alibaba Cloud deve ativar a opção Allow users to manage AccessKey. Caso contrário, o usuário RAM não verá a opção de criação de chave. Para mais informações, consulte Gerenciar configurações de segurança para usuários RAM.
Console
Faça login no console do RAM. No painel de navegação à esquerda, escolha .
Na lista de usuários, localize o RAM User e clique em nome de usuário correspondente.
-
Na guia Credential, na seção AccessKey, clique em Create AccessKey.
NotaCada usuário RAM pode ter no máximo dois pares de AccessKey. Um destina-se ao uso ativo e o outro ao rodízio de chaves.
-
Na caixa de diálogo exibida, leia os casos de uso e as recomendações. Siga as orientações para escolher uma solução de credenciais mais adequada. Se precisar criar um par de AccessKey, selecione um caso de uso, marque a caixa de seleção I confirm that it is necessary to create an AccessKey e clique em Continue. O caso de uso selecionado não afeta o par de AccessKey criado.
Conclua a verificação de segurança conforme solicitado.
-
Na caixa de diálogo Create AccessKey, salve o AccessKey ID e o AccessKey secret e clique em OK.
(Opcional) Configure uma política de ACL de rede para o AccessKey: restrinja os endereços IP de origem das solicitações de API que usam este par de AccessKey. Essa medida aumenta a segurança ao garantir que o par de AccessKey seja usado apenas em ambientes de rede confiáveis. Recomendamos clicar em Configure network access policy para definir os ambientes de rede confiáveis para este par de AccessKey. Para mais informações, consulte Configurar uma política de ACL de rede de AccessKey para um usuário RAM.
ImportantePara reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado.
API
Chame a API CreateAccessKey e especifique o seguinte parâmetro:
UserPrincipalName: nome de logon do usuário proprietário do par de AccessKey, por exemplo, test@example.onaliyun.com. Consulte o nome de logon do usuário no console do RAM.
Para reduzir o risco de vazamento, o AccessKey secret é retornado apenas na resposta da operação CreateAccessKey. Não é possível recuperá-lo posteriormente.