Resource Access Management：服務憑證管理（API Key）

核心特徵

• 服務涵蓋範圍隔離：每個 API Key 在建立時指定一個雲端服務（ServiceName），僅可調用該雲端服務接入的 API；不能跨服務調用，也不能通過授權擴大服務涵蓋範圍。

• 許可權疊加最小化：API Key 的最終許可權 = 所屬 RAM 使用者的許可權 ∩ 該雲端服務 Scope。即使 RAM 使用者擁有多服務許可權，API Key 也只能在指定服務涵蓋範圍內生效。

• 身份限定：僅 RAM 使用者可建立 API Key，阿里雲帳號（主帳號）不支援建立，以減少憑證泄露的影響範圍。

• 名稱差異：OpenAPI、SDK 中使用 ServiceCredential（服務憑證），控制台為便於理解使用 API Key。兩者指同一資源。

API Key 與 AccessKey 的區別

API Key 與 AccessKey 都是 RAM 使用者的長期身份憑證，但服務涵蓋範圍、簽發方式和適用情境不同。

生命週期狀態

API Key 在生命週期內可處於以下三種狀態：

• 已啟用：憑證可用於調用綁定雲端服務的 OpenAPI。建立後預設為該狀態。

• 已禁用：憑證暫時不可用。可通過啟用恢複為 Active。刪除前必須先進入此狀態。

• 已到期：到達到期時間後系統自動轉入此狀態，憑證永久失效，不可恢複。需重新建立。

配額與有效期間

• 配額：每個 RAM 使用者在每個雲端服務下最多建立 2 個 API Key（含 Active 與 Inactive），不可提升。已到期的API Key仍佔用配額，已刪除的 API Key 不佔用配額。

• 有效期間單位：天。

• 取值範圍：控制台預置 1 / 7 / 30 / 90 天與永不到期，並支援自訂。

• OpenAPI 預設：調用 CreateServiceCredential 時不傳 CredentialAgeDays，預設永不到期。

• 到期不可恢複：到期後憑證狀態變為 Expired 且永久失效，無法通過啟用恢複為可用狀態，需刪除並重新建立。

支援的雲端服務

在 RAM 控制台 使用者詳情 頁 > 憑證管理 標籤頁 > API Keys 區塊中點擊 建立 API Key，雲端服務 下拉中可選項即為帳號當前可用的雲端服務。每個雲端服務支援調用的 API 範圍請參閱相應雲產品文檔。

RAM 使用者如何自主管理

阿里雲帳號或具備相應許可權的 RAM 管理員，可在 RAM 安全設定中通過 AllowUserToManageServiceCredential 控制是否允許 RAM 使用者自主管理自己的 API Key。該開關的兩種狀態及其影響如下：

• 允許自主管理：RAM 使用者可登入控制台或調用 OpenAPI 自行建立、更新、刪除自己的 API Key，前提是未被管理員通過權限原則明確拒絕（即不存在顯式 Deny 策略）。

• 不允許自主管理：RAM 使用者無法管理自己的 API Key，須由具備 ram:CreateServiceCredential 等許可權的管理員代為建立與維護。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME"
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:CreateServiceCredential",
        "ram:ListServiceCredentials",
        "ram:GetServiceCredential",
        "ram:UpdateServiceCredential",
        "ram:DeleteServiceCredential"
      ],
      "Resource": "acs:ram:*:ACCOUNT_ID:user/USER_NAME",
      "Condition": {
        "StringEquals": {
          "ram:ServiceCredentialServiceName": "ak.aliyuncs.com"
        }
      }
    }
  ]
}

API Key 資料結構

每個 API Key 由以下核心欄位組成。OpenAPI 返回的欄位名以 ServiceCredential 為命名首碼；控制台中欄位名經過翻譯呈現。

安全建議

• 為 API Key 設定到期時間：短期測試避免設定永不到期。其他情況下建議設定有效期間，建議根據云服務的使用周期設定 30 天或 90 天，並在到期前輪轉。

• 建立後務必立即複製或下載 CSV 儲存 API Key 明文，關閉彈窗後將無法再次擷取；遺失只能刪除後重新建立。

• 將 API Key 視為高敏感憑證，禁止以明文形式提交到代碼倉庫、設定檔或日誌，建議接入憑證託管或 KMS 加密儲存。