Alibaba Cloud CLI：阿里雲 CLI 配置其他憑證（OIDC / CloudSSO / External / CredentialsURI / BearerToken）

前提條件

• 已建立 ACK 或 ACS 叢集，並啟用RRSA功能（ACK）/啟用RRSA功能（ACS）。

• 已建立OIDC身份供應商的RAM角色，信任策略允許叢集自動建立的 OIDC 身份供應商（格式為 ack-rrsa-{cluster-id}）扮演。

• Pod 使用的 ServiceAccount 已通過 RRSA 關聯到對應 RAM 角色。

配置憑證

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

配置完成後，在 Pod 內運行命令aliyun sts get-caller-identity驗證憑證是否生效。

憑證的重新整理

ACK/ACS 叢集會自動輪轉 Pod 中的 OIDC Token 檔案。CLI 會自動調用阿里雲 STS 服務的AssumeRoleWithOIDC 介面，傳入最新的OIDC Token重新整理憑證，整個過程對使用者透明。

前提條件

• 企業已部署 Cloud SSO 並配置了使用者目錄和訪問配置。

• Cloud SSO 使用者已被分配至少一個訪問配置。

• 已從管理員處擷取 Cloud SSO 登入地址，格式通常為 https://signin-<region>.alibabacloudsso.com/<directory-name>/login。關於如何擷取CloudSSO使用者登入地址，請參考擷取使用者門戶地址。

配置憑證

1. 運行以下命令開始配置。將 <ProfileName> 替換為自訂的配置名稱（如 SSOProfile）：

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. 根據提示輸入使用者登入地址SignIn Url。

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. 在彈出的瀏覽器視窗中，根據介面提示，完成雲SSO使用者登入，登入成功後請關閉瀏覽器視窗。

   說明

   如果瀏覽器視窗未彈出或當前為純終端環境，您可以根據CLI的提示資訊，手動複製登入URL（SignIn url）和使用者碼（User code）在瀏覽器中完成登入。

   提示資訊樣本：

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. CLI返回登入成功，同時列出您可以訪問的資來源目錄管理帳號或成員帳號名稱，請輸入編號選擇要訪問的帳號。

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. CLI列出您可以使用的訪問配置（即使用者權限配置），請輸入編號選擇要使用的訪問配置。

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. 設定預設地區及語言，如：

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   具體地區請參見地區和可用性區域。部分雲產品不支援跨地區訪問，建議您優先將預設地區設定為已購資源所在地區。

7. 終端顯示 Configure Done 及歡迎資訊，表示配置成功。

配置完成後，運行命令aliyun sts get-caller-identity驗證憑證是否生效。

憑證的重新整理

CloudSSO 憑證不自動重新整理，到期後需要重新使用命令aliyun configure --mode CloudSSO --profile <ProfileName>進行配置。

前提條件

• 有一個可執行程式或指令碼，能在 stdout 輸出規定格式的 JSON 憑證。格式要求如下：

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  StsToken

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• 程式退出碼必須為 0（非 0 視為失敗）。

配置憑證

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

配置完成後，運行命令aliyun sts get-caller-identity驗證憑證是否生效。

憑證的重新整理

在使用External 憑證模式下，CLI不會緩衝憑證，也不會自動重新整理憑證。CLI在每次需要憑證時都重新執行外部程式。憑證的重新整理邏輯依賴外部程式實現。

前提條件

有一個 HTTP/HTTPS 端點，能返回規定格式的 JSON 憑證響應（HTTP 200）。響應體為以下 JSON 格式：

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

配置憑證

憑證的重新整理

到期後 CLI 重新向端點發起 HTTP GET 請求擷取新憑證，整個過程對使用者透明。HTTP 憑證服務需自行確保每次請求都返回有效 STS Token。

前提條件

• 已擷取目標服務頒發的 Bearer Token。

• 已安裝目標產品的 CLI 外掛程式：aliyun plugin install --name <plugin-name>。

配置憑證

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

配置完成後，運行以下命令通過外掛程式調用目標產品 API 驗證憑證是否生效：

aliyun <command> <sub-command> --profile BearerProfile

環境變數

BearerToken 模式支援通過以下環境變數配置憑證參數：