Um par de AccessKey é uma credencial de segurança usada para acessar recursos do Alibaba Cloud por meio de operações de API. Utilize essa credencial para assinar solicitações de API e realizar a autenticação.
O que é um par de AccessKey?
Um par de AccessKey é composto por um AccessKey ID e um AccessKey secret. Esses dois elementos são usados em conjunto para autenticar solicitações programáticas no Alibaba Cloud.
AccessKey ID: o identificador público e exclusivo do seu par de AccessKey.
AccessKey secret: a chave privada usada para assinar solicitações de API. A assinatura verifica a autenticidade e a integridade da solicitação. Mantenha o seu AccessKey secret em sigilo absoluto.
Para reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado posteriormente.
Como usar um par de AccessKey
Use um par de AccessKey para chamar as APIs do Alibaba Cloud por meio da CLI, SDKs ou Terraform.
O Alibaba Cloud também oferece alternativas mais seguras baseadas em credenciais de segurança temporárias (tokens STS). Para mais detalhes, consulte Application development scenarios.
Caso seja indispensável usar um par de AccessKey, consulte a seguinte prática recomendada: Properly store and use unavoidable AccessKey pairs.
Como funciona um par de AccessKey
O Resource Access Management (RAM) gera o AccessKey ID e o AccessKey secret de forma algorítmica. O Alibaba Cloud criptografa esses dados tanto durante o armazenamento quanto na transmissão.
Quando um aplicativo envia uma solicitação, ele inclui o AccessKey ID e uma assinatura derivada do AccessKey secret. O Alibaba Cloud utiliza essas informações para autenticar o remetente e verifique a integridade da solicitação. Para obter mais informações sobre o mecanismo de assinatura utilizado pelo Alibaba Cloud, consulte Request body and signature mechanism for V3.
crie um AccessKey para um usuário do RAM
Execute as etapas a seguir como administrador do RAM (um usuário com a política AliyunRAMFullAccess). Se não houver usuários do RAM na sua conta, consulte Create a RAM user.
O processo para um usuário do RAM criar o próprio par de AccessKey é o mesmo descrito em creating an AccessKey pair for an Alibaba Cloud account. No entanto, antes que o usuário do RAM possa criar o próprio par, é necessário que o proprietário da conta do Alibaba Cloud ative a opção Allow users to manage AccessKey. Sem essa ativação, o usuário do RAM não conseguirá visualizar a opção de criação de chave. Para mais informações, consulte Manage security settings for RAM users.
Console
acesse o RAM console. No painel de navegação à esquerda, escolha .
Na lista de usuários, localize o RAM User e clique em seu nome de usuário.
-
Na guia Credential, dentro da seção AccessKey, clique em Create AccessKey.
NotaCada usuário do RAM pode ter, no máximo, dois pares de AccessKey. Um par é destinado ao uso ativo, e o segundo serve para rotação.
Na caixa de diálogo exibida, leia os casos de uso e as recomendações. Siga as orientações e escolha uma solução de credencial mais adequada. Caso seja realmente necessário criar um par de AccessKey, selecione um caso de uso, marque a caixa de seleção I confirm that it is necessary to create an AccessKey e clique em Continue. O caso de uso escolhido não afeta o par de AccessKey gerado.
Conclua a verificação de segurança conforme as instruções na tela.
-
Na caixa de diálogo Create AccessKey, salve o AccessKey ID e o AccessKey secret e, em seguida, clique em OK.
(Opcional) configure uma política de ACL de rede para o AccessKey: é possível restringir os endereços IP de origem das solicitações de API que utilizam esse par de AccessKey. Essa medida aumenta a segurança ao garantir que o par de AccessKey seja usado apenas em ambientes de rede confiáveis. Recomendamos que clique em Configure network access policy para definir os ambientes de rede confiáveis para este par de AccessKey. Para mais informações, consulte Configure an AccessKey network ACL policy for a RAM user.
Nas recomendações de segurança, defina também o tempo máximo de inatividade para o par de AccessKey (recomendação: desativação automática após 90 dias sem uso). clique em Go to Settings e configure.
ImportantePara reduzir o risco de vazamento, o AccessKey secret é exibido apenas uma vez no momento da criação e não pode ser recuperado posteriormente.
API
Chame a operação CreateAccessKey e especifique o seguinte parâmetro:
UserPrincipalName: o nome de logon do usuário do RAM, por exemplo, test@example.onaliyun.com. É possível encontrar o nome de logon no RAM console.
Para reduzir o risco de vazamento, o AccessKey secret é retornado apenas na resposta da operação CreateAccessKey. Não é possível recuperá-lo posteriormente.