當您通過阿里雲SDK調用OpenAPI進行資源操作時，必須正確配置憑證資訊。阿里雲的Credentials工具提供了一套強大的功能，使您能夠輕鬆地擷取和管理這些訪問憑證。無論是利用預設憑證，AccessKey（AK），還是Security Token Service（STS）令牌等，Credentials工具都能為您提供相應支援。此外，本文檔將詳細闡述如何根據優先順序使用預設憑證。您將深入理解如何在阿里雲SDK中配置和維護憑證，從而確保您對雲資源的操作既有效率又具有高度安全性。
背景資訊
憑據是指使用者證明其身份的一組資訊。使用者在系統中進行登入時，需要提供正確的憑據才能驗證身份。常見的憑據類型有：
阿里雲主帳號和RAM使用者的永久憑據 AccessKey（簡稱AK）是由AccessKey ID和AccessKey Secret組成的金鑰組。
阿里雲RAM角色的STS臨時訪問Token，簡稱STS Token。它是可以自訂時效和存取權限的臨時身份憑據，詳情請參見什麼是STS。
Bearer Token。它是一種身分識別驗證和授權的令牌類型。
前提條件
安裝Credentials工具
使用pip安裝（推薦），如未安裝pip，請先安裝pip。更多資訊，請參見pip官網pip user guide。
pip install alibabacloud_credentials
使用最新發行Credentials依賴包，確保所有憑證支援。
請查看ChangeLog.txt擷取所有發行的版本列表。
初始化憑據用戶端
Credentials工具支援多種方式初始化憑據用戶端，您可根據實際情況選擇合適的方式進行憑據用戶端初始化。
重要 在專案中使用明文AccessKey，容易因代碼倉庫許可權管理不當造成AccessKey泄露，會威脅該帳號下所有資源的安全。建議通過環境變數、設定檔等方式擷取AccessKey。
方式一：使用預設憑據鏈
當您在初始化憑據用戶端不傳入任何參數時，Credentials工具會使用預設憑據鏈方式初始化用戶端。預設憑據的讀取邏輯請參見預設憑據鏈。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_tea_rpc.models import Config
# 不指定參數
credentialsClient = CredClient()
config = Config(credential=credentialsClient)
介面調用方法
通過預設憑據提供鏈自動建立訪問憑證，並在不使用寫入程式碼AccessKey的情況下成功調用雲產品OpenAPI介面。
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
# Credentials和雲產品SDK都需引入Client，此處為建立別名。
from alibabacloud_credentials.client import Client as CredClient
# 引入阿里雲ECS SDK，此處以ECS產品為例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions介面發起調用請求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# 引入阿里雲SDK核心包。
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用預設憑證初始化Credentials Client。
credentialsClient = CredClient()
ecsConfig = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式二：使用AK
阿里雲帳號、RAM使用者可產生調用OpenAPI的金鑰組AK。如何擷取AK請參見文檔建立AccessKey。您可使用AK初始化憑據用戶端。
警告 阿里雲主帳號擁有資源的全部許可權，AK一旦泄露，會給系統帶來巨大風險，不建議使用。
推薦使用最小化授權的RAM使用者的AK。
import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config = Config(
type='access_key',
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred = Client(config)
介面調用方法
通過Credentials工具讀取AK，完成雲產品OpenAPI介面的調用。
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
import os
# Credentials和雲產品SDK都需引入Client，此處為建立別名。
from alibabacloud_credentials.client import Client as CredClient
# 引入阿里雲ECS SDK，此處以ECS產品為例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions介面發起調用請求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# Credentials和雲產品SDK都需引入Config
from alibabacloud_tea_openapi.models import Config
from alibabacloud_credentials.models import Config as CreConfig
from alibabacloud_tea_util.models import RuntimeOptions
# 使用AK 初始化Credentials Client。
credentialsConfig = CreConfig(
# 憑證類型。
type='access_key',
# 設定為AccessKey ID值。
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
# 設定為AccessKey Secret值。
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
credentialClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式三：使用STS Token
以一個RAM使用者的身份調用STS服務的AssumeRole介面，設定Token的最大到期時間，即可換取到臨時憑據STS Token。以下樣本示範如何使用STS Token初始化憑據用戶端（不包含如何擷取到STS Token的過程）。
import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config = Config(
type='sts',
# 從環境變數中擷取AccessKey ID的值
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
# 從環境變數中擷取AccessKeySecret的值
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
# 從環境變數中擷取臨時SecurityToken的值
security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN')
)
credClient = Client(config)
介面調用方法
通過Credentials工具讀取臨時安全性權杖（STS Token），完成雲產品OpenAPI介面的調用。
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝Elastic Compute Service SDK和Security Token Service SDK。
import os
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CreConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_sts20150401.client import Client as Sts20150401Client
from alibabacloud_sts20150401.models import AssumeRoleRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 從環境變數中擷取RAM使用者ak
config = Config(
access_key_id=os.environ['ALIBABA_CLOUD_ACCESS_KEY_ID'],
access_key_secret=os.environ['ALIBABA_CLOUD_ACCESS_KEY_SECRET']
)
config.endpoint = "sts.aliyuncs.com"
stsClient = Sts20150401Client(config)
# 調AssumeRole API的參數
assume_role_request = AssumeRoleRequest(
# 會話有效時間
duration_seconds=3600,
# 要扮演的RAM角色ARN，樣本值：acs:ram::123456789012****:role/adminrole，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定role_arn
role_arn='<role_arn>',
# 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定role_session_name
role_session_name='<role_session_name>'
)
runtime = RuntimeOptions()
try:
resp = stsClient.assume_role_with_options(assume_role_request, runtime)
assumeRoleResponseBodyCredentials = resp.body.credentials
# 使用STS Token初始化Credentials Client。
credentialsConfig = CreConfig(
# 憑證類型。
type='sts',
# 設定為AccessKey ID值。
access_key_id=assumeRoleResponseBodyCredentials.access_key_id,
# 設定為AccessKey Secret值。
access_key_secret=assumeRoleResponseBodyCredentials.access_key_secret,
# 設定為STS Token值。
security_token=assumeRoleResponseBodyCredentials.security_token
)
credentialClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
except Exception as error:
# 錯誤 message
print(error.message)
方式四：使用AK及RamRoleArn
該方式底層實現是STS Token。通過指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以協助開發人員前往STS換取STS Token。您也可以通過為policy賦值來限制RAM角色到一個更小的許可權集合。
import os
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
credentialsConfig = CredConfig(
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
type='ram_role_arn',
# 要扮演的RAM角色ARN，樣本值：acs:ram::123456789012****:role/adminrole，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定role_arn
role_arn='<role_arn>',
# 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定role_session_name
role_session_name='<role_session_name>',
# 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy='<policy>',
role_session_expiration=3600
)
credentialsClient = CredClient(credentialsConfig)
介面調用方法
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
import os
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用RamRoleArn初始化Credentials Client。
credentialsConfig = CredConfig(
type='ram_role_arn', # 憑證類型。
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), # 從環境變數中擷取AccessKey ID。
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), # 從環境變數中擷取AccessKey Secret。
# 要扮演的RAM角色ARN，樣本值：acs:ram::123456789012****:role/adminrole，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定role_arn
role_arn='<role_arn>',
# 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定role_session_name
role_session_name='<role_session_name>',
# 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy='<policy>',
role_session_expiration=3600 # 會話有效時間
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式五：使用ECS執行個體RAM角色
ECS和ECI執行個體均支援綁定執行個體RAM角色，當在執行個體中使用Credentials工具時，將自動擷取執行個體綁定的RAM角色，並通過訪問中繼資料服務擷取RAM角色的STS Token，以完成憑據用戶端的初始化。
執行個體中繼資料服務器支援加固模式和普通模式兩種訪問方式，Credentials工具預設使用加固模式（IMDSv2）擷取訪問憑據。若使用加固模式時發生異常，您可以通過設定enable_imds_v1來執行不同的異常處理邏輯：
當值為false（預設值）時，會使用普通模式繼續擷取訪問憑據。
當值為true時，表示只能使用加固模式擷取訪問憑據，會拋出異常。
服務端是否支援IMDSv2，取決於您在伺服器的配置。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
credentialsConfig = CredConfig(
type='ecs_ram_role',
# 選填，該ECS角色的角色名稱，不填會自動擷取，但是建議加上以減少請求次數，可以通過環境變數ALIBABA_CLOUD_ECS_METADATA設定role_name
role_name='<role_name>',
# true表示強制使用加固模式。預設值：false,系統將首先嘗試在加固模式下擷取憑據。如果失敗，則會切換到普通模式進行嘗試（IMDSv1）。
# enable_imds_v1=True,
)
credentialsClient = CredClient(credentialsConfig)
介面調用方法
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
# Credentials和雲產品SDK都需引入Client，此處為建立別名。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
# 引入阿里雲ECS SDK，此處以ECS產品為例。
from alibabacloud_ecs20140526.client import Client as EcsClient
# 使用ECS DescribeRegions介面發起調用請求。
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
# 引入阿里雲SDK核心包。
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用EcsRamRole初始化Credentials Client。
credentialsConfig = CredConfig(
type='ecs_ram_role', # 憑證類型。
# 選填，該ECS角色的角色名稱，不填會自動擷取，但是建議加上以減少請求次數，可以通過環境變數ALIBABA_CLOUD_ECS_METADATA設定role_name
role_name='<role_name>'
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式六：使用OIDCRoleArn
在Container Service for Kubernetes中設定了Worker節點RAM角色後，對應節點內的Pod中的應用也就可以像ECS上部署的應用一樣，通過中繼資料服務（Meta Data Server）擷取關聯角色的STS Token。但如果容器叢集上部署的是不可信的應用（比如部署您的客戶提交的應用，代碼也沒有對您開放），您可能並不希望它們能通過中繼資料服務擷取Worker節點關聯執行個體RAM角色的STS Token。為了避免影響雲上資源的安全，同時又能讓這些不可信的應用安全地擷取所需的 STS Token，實現應用層級的許可權最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里雲容器叢集會為不同的應用Pod建立和掛載相應的服務賬戶OIDC Token檔案，並將相關配置資訊注入到環境變數中，Credentials工具通過擷取環境變數的配置資訊，調用STS服務的AssumeRoleWithOIDC - OIDC角色SSO時擷取扮演角色的臨時身份憑證介面換取綁定角色的STS Token。詳情請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。
注入的環境變數如下：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名稱ARN；
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC供應商ARN；
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token檔案路徑；
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config = Config(
type='oidc_role_arn',
# RAM角色名稱ARN，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定role_arn
role_arn='<role_arn>',
# OIDC供應商ARN，可以通過環境變數ALIBABA_CLOUD_OIDC_PROVIDER_ARN設定oidc_provider_arn
oidc_provider_arn='<oidc_provider_arn>',
# OIDC Token檔案路徑，可以通過環境變數ALIBABA_CLOUD_OIDC_TOKEN_FILE設定oidc_token_file_path
oidc_token_file_path='<oidc_token_file_path>',
# 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定role_session_name
role_session_name='<role_session_name>',
# 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy='<policy>',
# 設定session到期時間
role_session_expiration=3600
)
cred = Client(config)
access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()
介面調用方法
本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用OIDCRoleArn初始化Credentials Client。
credentialsConfig = CredConfig(
type='oidc_role_arn',
# RAM角色名稱ARN，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定role_arn
role_arn='<role_arn>',
# OIDC供應商ARN，可以通過環境變數ALIBABA_CLOUD_OIDC_PROVIDER_ARN設定oidc_provider_arn
oidc_provider_arn='<oidc_provider_arn>',
# OIDC Token檔案路徑，可以通過環境變數ALIBABA_CLOUD_OIDC_TOKEN_FILE設定oidc_token_file_path
oidc_token_file_path='<oidc_token_file_path>',
# 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定role_session_name
role_session_name='<role_session_name>',
# 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
policy='<policy>',
# 設定session到期時間
role_session_expiration=3600
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式七：使用URI憑據
該方案底層實現是STS Token。Credentials工具通過您提供的URI擷取STS Token，完成憑據用戶端初始化。
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config = Config(
type='credentials_uri',
# 憑證的 URI，格式為http://local_or_remote_uri/，可以通過環境變數ALIBABA_CLOUD_CREDENTIALS_URI設定credentials_uri
credentials_uri='<credentials_uri>',
)
cred = Client(config)
access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()
介面調用方法
指定Credentials提供地址，實現通過本地或遠端URI來擷取並自動更新Token，完成雲產品介面的調用。
調用單個雲產品的介面需要雲產品依賴。本樣本以調用Elastic Compute Service的DescribeRegions介面為例，因此需先安裝ECS SDK。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_ecs20140526.client import Client as EcsClient
from alibabacloud_ecs20140526.models import DescribeRegionsRequest
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用URI憑據初始化Credentials Client。
credentialsConfig = CredConfig(
# 憑證類型。
type='credentials_uri',
# 憑證的 URI，格式為http://local_or_remote_uri/，可以通過環境變數ALIBABA_CLOUD_CREDENTIALS_URI設定credentials_uri
credentials_uri='<credentials_uri>',
)
credentialsClient = CredClient(credentialsConfig)
ecsConfig = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
ecsConfig.endpoint = 'ecs.aliyuncs.com'
# 使用Credentials Client初始化ECS Client。
ecsClient = EcsClient(ecsConfig)
# 初始化DescribeRegions請求。
request = DescribeRegionsRequest()
# 初始化運行時配置。
runtime_options = RuntimeOptions()
# 調用DescribeRegions介面並獲得響應。
response = ecsClient.describe_regions_with_options(request, runtime_options)
print(response.to_map())
方式八：使用Bearer Token
目前只有Cloud Call CenterCCC這款產品支援Bearer Token的憑據初始化方式。
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config = Config(
type='bearer',
# 填入您的Bearer Token
bearer_token='<BearerToken>',
)
cred = Client(config)
access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type()
介面調用方法
本樣本以調用話務中心CCC的GetInstance介面為例，因此需先安裝CCC SDK。
from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
from alibabacloud_ccc20200701.client import Client as CCC20200701Client
from alibabacloud_ccc20200701 import models as ccc20200701_models
from alibabacloud_tea_openapi.models import Config
from alibabacloud_tea_util.models import RuntimeOptions
# 使用Bearer Token初始化Credentials Client。
credentialsConfig = CredConfig(
type='bearer', # 憑證類型。
bearer_token='<bearer_token>', # 伺服器端自動產生的Bearer Token，帶有效期間。
)
credentialsClient = CredClient(credentialsConfig)
config = Config(credential=credentialsClient)
# 配置雲產品服務接入地址（endpoint）。
config.endpoint = 'ccc.cn-shanghai.aliyuncs.com'
# 使用Credentials Client初始化CCC Client。
cccClient = CCC20200701Client(config)
request = ccc20200701_models.GetInstanceRequest(
instance_id='ccc-test'
)
# 初始化運行時配置。
runtime_options = RuntimeOptions()
response = cccClient.get_instance_with_options(request, runtime_options)
print(response.to_map())
預設憑據鏈
當您的程式開發環境和生產環境採用不同的憑據類型，常見做法是在代碼中擷取當前環境資訊，編寫擷取不同憑據的分支代碼。藉助Credentials工具的預設憑據鏈，您可以用同一套代碼，通過程式之外的配置來控制不同環境下的憑據擷取方式。當您在不傳入參數的情況下，直接使用cred = CredClient()初始化憑據用戶端時，阿里雲SDK將會嘗試按照如下順序尋找相關憑據資訊。
1. 使用環境變數
若不存在優先順序更高的憑據資訊，Credentials工具會優先在環境變數中擷取憑據資訊。
如果系統內容變數ALIBABA_CLOUD_ACCESS_KEY_ID（密鑰Key） 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密鑰Value） 不為空白，Credentials工具會優先使用它們作為預設憑據。
如果系統內容變數ALIBABA_CLOUD_ACCESS_KEY_ID（密鑰Key）、ALIBABA_CLOUD_ACCESS_KEY_SECRET（密鑰Value）、ALIBABA_CLOUD_SECURITY_TOKEN（Token）均不為空白，Credentials工具會優先使用STS Token作為預設憑據。
2. 使用OIDC RAM角色
若不存在優先順序更高的憑據資訊，Credentials工具會在環境變數中擷取如下內容：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名稱ARN；
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC供應商ARN；
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token檔案路徑；
若以上三個環境變數都已設定內容，Credentials將會使用變數內容調用STS服務的AssumeRoleWithOIDC - OIDC角色SSO時擷取扮演角色的臨時身份憑證介面換取STS Token作為預設憑據。
3. 使用設定檔
若不存在優先順序更高的憑據資訊，Credentials工具會優先在如下位置尋找檔案是否存在。
Linux系統：~/.alibabacloud/credentials
Windows系統：C:\Users\USER_NAME\.alibabacloud\credentials
您也可通過環境變數ALIBABA_CLOUD_CREDENTIALS_FILE指定設定檔路徑。如果檔案存在，程式將會使用設定檔中default指定的憑據資訊初始化憑據用戶端。當然，您也可以通過環境變數ALIBABA_CLOUD_PROFILE來指定憑據資訊，例如設定ALIBABA_CLOUD_PROFILE的值為client1。
配置樣本資訊如下：
[default]
enable=true
type=access_key
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_secret=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
[client1]
enable=true
type=ecs_ram_role
role_name=<ecs_ram_role_name>
[client2]
enable=true
type=ram_role_arn
policy=<policy>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_ID>
access_key_id=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>
[client3]
enable=true
type=oidc_role_arn
policy=<policy>
oidc_provider_arn=<ALIBABA_CLOUD_ACCESS_KEY_ID>
oidc_token_file_path=<ALIBABA_CLOUD_ACCESS_KEY_SECRET>
role_arn=<ram_role_arn>
role_session_name=<role_session_name>
4. 使用ECS執行個體RAM角色
若不存在優先順序更高的憑據資訊，Credentials工具將通過環境變數擷取ALIBABA_CLOUD_ECS_METADATA（ECS執行個體RAM角色名稱）的值。若該變數的值存在，程式將採用加固模式（IMDSv2）訪問ECS的中繼資料服務（Meta Data Server），以擷取ECS執行個體RAM角色的STS Token作為預設憑據資訊。在使用加固模式時若發生異常，將使用普通模式兜底來擷取訪問憑據。您也可以通過設定環境變數ALIBABA_CLOUD_IMDSV1_DISABLED，執行不同的異常處理邏輯：
當值為false時，會使用普通模式繼續擷取訪問憑據。
當值為true時，表示只能使用加固模式擷取訪問憑據，會拋出異常。
服務端是否支援IMDSv2，取決於您在伺服器的配置。
5. 使用Credentials工具URI
若不存在優先順序更高的憑據資訊，Credentials工具會在環境變數中擷取ALIBABA_CLOUD_CREDENTIALS_URI，若存在，程式將請求該URI地址，擷取臨時安全憑證作為預設憑據資訊。
如何切換憑據
當您想要在程式中使用不同的訪問憑據調用不同OpenAPI時，可以通過如下方式。
使用多個憑據用戶端
通過初始化多個憑據用戶端，傳入到不同的介面請求用戶端。
import os
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
config1 = Config(
type='access_key',
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
)
cred1 = Client(config1)
config2 = Config(
type='sts',
access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'),
access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'),
security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN')
)
cred2 = Client(config2)
使用AuthUtils
當我們初始化憑據用戶端採用設定檔記錄憑據資訊時，可以使用auth_util.client_type切換到不同的憑據配置上。範例程式碼如下。
from alibabacloud_credentials.utils import auth_util
from alibabacloud_credentials.client import Client
# 若不配置AuthUtils類clientType屬性，則預設使用default。
credentialClient = Client()
# 切換到client1憑據上
auth_util.client_type = "client1"
credentialClient1 = Client()
# 切換到client2憑據上
auth_util.client_type = "client2"
credentialClient2 = Client()