Table Store如何選擇和配置訪問憑證 - Tablestore

Table Store支援多種訪問憑證類型，您可以根據業務情境的認證和授權要求選擇合適的訪問憑證。

訪問憑證選型

Table Store支援 AccessKey（簡稱 AK）、STS Token 等訪問憑證類型以及多種配置方式，不同配置方式的適用情境和 SDK 支援情況等資訊請參見下表。

訪問憑證配置方式	適用情境	是否需要提供前置的AK或STS Token	底層實現基於的憑證	憑證有效期間	憑證輪轉或重新整理方式	SDK支援情況
使用RAM使用者的AK	部署運行在安全、穩定且不易受外部攻擊的環境的應用程式，無需頻繁輪轉憑證就可以長期訪問雲端服務	是	AK	長期	手動輪轉	Java、Go、Python、Node.js、.NET、PHP
使用STS臨時訪問憑證	部署運行在不可信的環境的應用程式，希望能控制訪問的有效期間、許可權	是	STS Token	臨時	手動重新整理	Java、Go、Python、Node.js、PHP
使用RAMRoleARN	需要授權訪問雲端服務，例如跨阿里雲帳號訪問雲端服務的應用程式	是	STS Token	臨時	自動重新整理	Java
使用ECSRAMRole	部署運行在阿里雲的ECS執行個體、ECI執行個體、Container ServiceKubernetes版的Worker節點中的應用程式	否	STS Token	臨時	自動重新整理	Java
使用OIDCRoleARN	部署運行在阿里雲的Container ServiceKubernetes版的Worker節點中的不可信應用程式	否	STS Token	臨時	自動重新整理	Java
使用Function Compute上下文中的Credentials	部署運行在阿里雲Function Compute中的應用程式的函數	否	STS Token	臨時	無需重新整理	Java、Python
使用CredentialsURI	需要通過外部系統擷取訪問憑證的應用程式	否	STS Token	臨時	自動重新整理	Java
使用自動輪轉的AK	部署運行在面臨AK泄露風險的環境的應用程式，需要頻繁輪轉憑證才長期能訪問雲端服務	否	AK	長期	自動輪轉	Java
使用自訂訪問憑證	如果以上憑證配置方式都不滿足要求時，您可以自訂擷取憑證的方式	自訂	自訂	自訂	自訂	Java

訪問憑證配置方式

使用RAM使用者的AK

使用RAM使用者的AK（Access Key ID、Access Key Secret）配置訪問憑證。該方式需要您手動維護一個AK，存在安全性風險和維護複雜度增加的風險。

重要

阿里雲帳號擁有資源的全部許可權，AK一旦泄露，會給系統帶來巨大風險，不建議使用。推薦使用最小化授權的RAM使用者的AK。如何擷取RAM使用者的AK，請參見使用RAM使用者存取金鑰訪問Table Store。

使用該方式時支援通過環境變數和靜態憑證兩種方式配置憑證。具體配置如下：

環境變數

配置環境變數，配置完成後請重啟或重新整理您的編譯運行環境，包括 IDE、命令列介面、其它傳統型應用程式及後台服務，確保最新的系統內容變數成功載入。

Linux

在命令列介面執行以下命令來將環境變數設定追加到 ~/.bashrc 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_ACCESS_KEY_ID'" >> ~/.bashrc
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_ACCESS_KEY_SECRET'" >> ~/.bashrc

執行以下命令使變更生效。
```
source ~/.bashrc
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET

macOS

在終端中執行以下命令，查看預設 Shell 類型。
```
echo $SHELL
```

根據預設 Shell 類型進行操作。

Zsh

執行以下命令來將環境變數設定追加到 ~/.zshrc 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_ACCESS_KEY_ID'" >> ~/.zshrc
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_ACCESS_KEY_SECRET'" >> ~/.zshrc

執行以下命令使變更生效。
```
source ~/.zshrc
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET

Bash

執行以下命令來將環境變數設定追加到 ~/.bash_profile 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_ACCESS_KEY_ID'" >> ~/.bash_profile
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_ACCESS_KEY_SECRET'" >> ~/.bash_profile

執行以下命令使變更生效。
```
source ~/.bash_profile
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET

Windows

CMD

在CMD中運行以下命令設定環境變數。

setx TABLESTORE_ACCESS_KEY_ID "YOUR_ACCESS_KEY_ID"
setx TABLESTORE_ACCESS_KEY_SECRET "YOUR_ACCESS_KEY_SECRET"

重啟CMD後，運行以下命令，檢查環境變數是否生效。
```
echo %TABLESTORE_ACCESS_KEY_ID%
echo %TABLESTORE_ACCESS_KEY_SECRET%
```

PowerShell

在PowerShell中運行以下命令。

[Environment]::SetEnvironmentVariable("TABLESTORE_ACCESS_KEY_ID", "YOUR_ACCESS_KEY_ID", [EnvironmentVariableTarget]::User)
[Environment]::SetEnvironmentVariable("TABLESTORE_ACCESS_KEY_SECRET", "YOUR_ACCESS_KEY_SECRET", [EnvironmentVariableTarget]::User)

運行以下命令，檢查環境變數是否生效。

[Environment]::GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_ID", [EnvironmentVariableTarget]::User)
[Environment]::GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_SECRET", [EnvironmentVariableTarget]::User)

使用環境變數來傳遞憑證資訊。

Java

import com.alicloud.openservices.tablestore.core.auth.CredentialsProviderFactory;
import com.alicloud.openservices.tablestore.core.auth.EnvironmentVariableCredentialsProvider;

public class AkDemoTest {
    public static void main(String[] args) throws Exception {
        {
            // 樣本1：從環境變數中擷取憑證
            EnvironmentVariableCredentialsProvider credentialsProvider = CredentialsProviderFactory.newEnvironmentVariableCredentialsProvider();
            // 使用credentialsProvider進行後續操作...
        }
        {
            // 樣本2：從環境變數中擷取accessKeyId、accessKeySecret
            final String accessKeyId = System.getenv("TABLESTORE_ACCESS_KEY_ID");
            final String accessKeySecret = System.getenv("TABLESTORE_ACCESS_KEY_SECRET");
            // 使用accessKeyId、accessKeySecret進行後續操作...
        }
    }
}

accessKeyId := os.Getenv("TABLESTORE_ACCESS_KEY_ID")
accessKeySecret := os.Getenv("TABLESTORE_ACCESS_KEY_SECRET")

Python

# -*- coding: utf-8 -*-
import os

access_key_id = os.getenv("TABLESTORE_ACCESS_KEY_ID")
access_key_secret = os.getenv("TABLESTORE_ACCESS_KEY_SECRET")

Node.js

var accessKeyId = process.env.TABLESTORE_ACCESS_KEY_ID;
var secretAccessKey = process.env.TABLESTORE_ACCESS_KEY_SECRET;

// 從環境變數中擷取訪問憑證。
var AccessKeyId = Environment.GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_ID");
var AccessKeySecret = Environment.GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_SECRET");

PHP

$accessKeyId = getenv('TABLESTORE_ACCESS_KEY_ID');
$accessKeySecret = getenv('TABLESTORE_ACCESS_KEY_SECRET');

靜態憑證

您可以在代碼中使用變數來引用憑證，這些變數在運行時會被環境變數、設定檔或其他外部資料源中的實際憑證值填充。

以下操作步驟以設定檔為例介紹在常用Table StoreSDK使用靜態憑證的操作。

建立設定檔config.ini。

[configName]
TABLESTORE_ACCESS_KEY_ID = your_access_key_id
TABLESTORE_ACCESS_KEY_SECRET = your_access_key_secret

使用設定檔來傳遞憑證資訊。

Java

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentialProvider;
import java.io.FileInputStream;
import java.util.Properties;

public class AkDemoTest {
    public static void main(String[] args) throws Exception {
        Properties properties = new Properties();
        // 設定config.ini檔案路徑，請以實際路徑為準
        String configFilePath = "config.ini";

        // 讀取設定檔
        FileInputStream input = new FileInputStream(configFilePath);
        properties.load(input);
        input.close();

        // 從設定檔中擷取AK和SK
        String accessKeyId = properties.getProperty("TABLESTORE_ACCESS_KEY_ID");
        String accessKeySecret = properties.getProperty("TABLESTORE_ACCESS_KEY_SECRET");

        CredentialsProvider credentialsProvider = new DefaultCredentialProvider(accessKeyId, accessKeySecret);

        // 使用credentialsProvider進行後續操作...
    }
}

// 讀取設定檔，請以實際路徑為準
config, err := ini.Load("config.ini")
if err != nil {
    fmt.Println("無法讀取設定檔:", err)
}

// 從設定檔中擷取Access Key ID和Access Key Secret
access_key_id := config.Section("configName").Key("TABLESTORE_ACCESS_KEY_ID").String()
access_key_secret := config.Section("configName").Key("TABLESTORE_ACCESS_KEY_SECRET").String()

Python

# -*- coding: utf-8 -*-
import configparser

# 讀取設定檔
config = configparser.ConfigParser()
# 假設config.ini位於指令碼同級目錄下，請以實際路徑為準
config.read('config.ini')

# 從設定檔中擷取Access Key ID和Access Key Secret
access_key_id = config.get('configName', 'TABLESTORE_ACCESS_KEY_ID')
access_key_secret = config.get('configName', 'TABLESTORE_ACCESS_KEY_SECRET')

PHP

try {
    // 讀取設定檔，假設config.ini位於指令碼同級目錄下，請以實際路徑為準
    $config = parse_ini_file('config.ini');
    // 擷取AK和SK資訊
    $accessKeyId = $config['TABLESTORE_ACCESS_KEY_ID'];
    $accessKeySecret = $config['TABLESTORE_ACCESS_KEY_SECRET'];
}catch (Exception $e) {
    printf($e->getMessage() . "\n");
    return;
}

使用STS臨時訪問憑證

使用通過STS服務擷取的臨時身份憑證（Access Key ID、Access Key Secret和Security Token）配置訪問憑證。該方式需要您手動維護一個STS Token，存在安全性風險和維護複雜度增加的風險。此外，如果您需要多次臨時訪問Tablestore，您需要手動重新整理STS Token。STS臨時訪問憑證的擷取方式請參見使用STS臨時訪問憑證訪問Table Store。

使用該方式時支援通過環境變數和靜態憑證兩種方式配置臨時訪問憑證。具體配置如下：

環境變數

Linux

在命令列介面執行以下命令來將環境變數設定追加到 ~/.bashrc 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_STS_ACCESS_KEY_ID'" >> ~/.bashrc
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_STS_ACCESS_KEY_SECRET'" >> ~/.bashrc
echo "export TABLESTORE_SESSION_TOKEN='YOUR_STS_TOKEN'" >> ~/.bashrc

執行以下命令使變更生效。
```
source ~/.bashrc
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET
echo $TABLESTORE_SESSION_TOKEN

macOS

在終端中執行以下命令，查看預設 Shell 類型。
```
echo $SHELL
```

根據預設 Shell 類型進行操作。

Zsh

執行以下命令來將環境變數設定追加到 ~/.zshrc 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_STS_ACCESS_KEY_ID'" >> ~/.zshrc
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_STS_ACCESS_KEY_SECRET'" >> ~/.zshrc
echo "export TABLESTORE_SESSION_TOKEN='YOUR_STS_TOKEN'" >> ~/.zshrc

執行以下命令使變更生效。
```
source ~/.zshrc
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET
echo $TABLESTORE_SESSION_TOKEN

Bash

執行以下命令來將環境變數設定追加到 ~/.bash_profile 檔案中。

echo "export TABLESTORE_ACCESS_KEY_ID='YOUR_STS_ACCESS_KEY_ID'" >> ~/.bash_profile
echo "export TABLESTORE_ACCESS_KEY_SECRET='YOUR_STS_ACCESS_KEY_SECRET'" >> ~/.bash_profile
echo "export TABLESTORE_SESSION_TOKEN='YOUR_STS_TOKEN'" >> ~/.bash_profile

執行以下命令使變更生效。
```
source ~/.bash_profile
```

執行以下命令檢查環境變數是否生效。

echo $TABLESTORE_ACCESS_KEY_ID
echo $TABLESTORE_ACCESS_KEY_SECRET
echo $TABLESTORE_SESSION_TOKEN

Windows

CMD

在CMD中運行以下命令設定環境變數。

setx TABLESTORE_ACCESS_KEY_ID "YOUR_STS_ACCESS_KEY_ID"
setx TABLESTORE_ACCESS_KEY_SECRET "YOUR_STS_ACCESS_KEY_SECRET"
setx TABLESTORE_SESSION_TOKEN "YOUR_STS_TOKEN"

重啟CMD後，運行以下命令檢查環境變數是否生效。

echo %TABLESTORE_ACCESS_KEY_ID%
echo %TABLESTORE_ACCESS_KEY_SECRET%
echo %TABLESTORE_SESSION_TOKEN%

PowerShell

在PowerShell中運行以下命令。

[Environment]::SetEnvironmentVariable("TABLESTORE_ACCESS_KEY_ID", "YOUR_STS_ACCESS_KEY_ID", [EnvironmentVariableTarget]::User)
[Environment]::SetEnvironmentVariable("TABLESTORE_ACCESS_KEY_SECRET", "YOUR_STS_ACCESS_KEY_SECRET", [EnvironmentVariableTarget]::User)
[Environment]::SetEnvironmentVariable("TABLESTORE_SESSION_TOKEN", "YOUR_STS_TOKEN", [EnvironmentVariableTarget]::User)

運行以下命令，檢查環境變數是否生效。

[Environment]::GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_ID", [EnvironmentVariableTarget]::User)
[Environment]::GetEnvironmentVariable("TABLESTORE_ACCESS_KEY_SECRET", [EnvironmentVariableTarget]::User)
[Environment]::GetEnvironmentVariable("TABLESTORE_SESSION_TOKEN", [EnvironmentVariableTarget]::User)

使用環境變數來傳遞憑證資訊。

Java

import com.alicloud.openservices.tablestore.core.auth.CredentialsProviderFactory;
import com.alicloud.openservices.tablestore.core.auth.EnvironmentVariableCredentialsProvider;

public class StsDemoTest {
    public static void main(String[] args) throws Exception {
        {
            // 樣本1： 從環境變數中擷取憑證
            EnvironmentVariableCredentialsProvider credentialsProvider = CredentialsProviderFactory.newEnvironmentVariableCredentialsProvider();
            // 使用credentialsProvider進行後續操作...
        }
        {
            // 樣本2：從環境變數中擷取accessKeyId、accessKeySecret、securityToken
            final String accessKeyId = System.getenv("TABLESTORE_ACCESS_KEY_ID");
            final String accessKeySecret = System.getenv("TABLESTORE_ACCESS_KEY_SECRET");
            final String securityToken = System.getenv("TABLESTORE_SESSION_TOKEN");
            // 使用accessKeyId、accessKeySecret和securityToken進行後續操作...
        }
    }
}

accessKeyId := os.Getenv("TABLESTORE_ACCESS_KEY_ID")
accessKeySecret := os.Getenv("TABLESTORE_ACCESS_KEY_SECRET")
securityToken := os.Getenv("TABLESTORE_SESSION_TOKEN")

Python

# -*- coding: utf-8 -*-
import os

access_key_id = os.getenv("TABLESTORE_ACCESS_KEY_ID")
access_key_secret = os.getenv("TABLESTORE_ACCESS_KEY_SECRET")
sts_token = os.getenv("TABLESTORE_SESSION_TOKEN")

Node.js

var accessKeyId = process.env.TABLESTORE_ACCESS_KEY_ID;
var secretAccessKey = process.env.TABLESTORE_ACCESS_KEY_SECRET;
var stsToken = process.env.TABLESTORE_SESSION_TOKEN;

PHP

$accessKeyId = getenv('TABLESTORE_ACCESS_KEY_ID');
$accessKeySecret = getenv('TABLESTORE_ACCESS_KEY_SECRET');
$securityToken = getenv('TABLESTORE_SESSION_TOKEN');

靜態憑證

您可以在代碼中使用變數來引用憑證，這些變數在運行時會被環境變數、設定檔或其他外部資料源中的實際憑證值填充。

以下操作步驟以設定檔為例介紹在常用Table StoreSDK中使用靜態憑證的操作。

建立設定檔config.ini。

[configName]
TABLESTORE_ACCESS_KEY_ID = your_sts_access_key_id
TABLESTORE_ACCESS_KEY_SECRET = your_sts_access_key_secret
TABLESTORE_SESSION_TOKEN = your_sts_token

使用設定檔來傳遞憑證資訊。

Java

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentialProvider;
import java.io.FileInputStream;
import java.util.Properties;

public class StsDemoTest {
    public static void main(String[] args) throws Exception {
        Properties properties = new Properties();
        // 設定config.ini檔案路徑，請以實際路徑為準
        String configFilePath = "config.ini";

        // 讀取設定檔
        FileInputStream input = new FileInputStream(configFilePath);
        properties.load(input);
        input.close();

        // 從設定檔中擷取AK、SK、Token
        String accessKeyId = properties.getProperty("TABLESTORE_ACCESS_KEY_ID");
        String accessKeySecret = properties.getProperty("TABLESTORE_ACCESS_KEY_SECRET");
        String securityToken = properties.getProperty("TABLESTORE_SESSION_TOKEN");

        CredentialsProvider credentialsProvider = new DefaultCredentialProvider(accessKeyId, accessKeySecret, securityToken);
        // 使用credentialsProvider進行後續操作...
    }
}

// 讀取設定檔，請以實際路徑為準
config, err := ini.Load("config.ini")
if err != nil {
    fmt.Println("無法讀取設定檔:", err)
}

// 從設定檔中擷取Access Key ID和Access Key Secret
access_key_id := config.Section("configName").Key("TABLESTORE_ACCESS_KEY_ID").String()
access_key_secret := config.Section("configName").Key("TABLESTORE_ACCESS_KEY_SECRET").String()
security_token := config.Section("configName").Key("TABLESTORE_SESSION_TOKEN").String()

Python

# -*- coding: utf-8 -*-
import configparser

# 讀取設定檔
config = configparser.ConfigParser()
# 假設config.ini位於指令碼同級目錄下，請以實際路徑為準
config.read('config.ini')

# 從設定檔中擷取Access Key ID和Access Key Secret
access_key_id = config.get('configName', 'TABLESTORE_ACCESS_KEY_ID')
access_key_secret = config.get('configName', 'TABLESTORE_ACCESS_KEY_SECRET')
security_token = config.get('configName', 'TABLESTORE_SESSION_TOKEN')

PHP

try {
    // 讀取設定檔，假設config.ini位於指令碼同級目錄下，請以實際路徑為準
    $config = parse_ini_file('config.ini');
    // 擷取AK、SK和TOKEN資訊
    $accessKeyId = $config['TABLESTORE_ACCESS_KEY_ID'];
    $accessKeySecret = $config['TABLESTORE_ACCESS_KEY_SECRET'];
    $securityToken = $config['TABLESTORE_SESSION_TOKEN'];
}catch (Exception $e) {
    printf($e->getMessage() . "\n");
    return;
}

使用RAMRoleARN

使用RAMRoleARN配置訪問憑證。該方式底層實現是STS Token。通過指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具會前往STS服務擷取STS Token，並在會話到期前自動重新整理STS Token。此外，您還可以通過為policy賦值來限制RAM角色到一個更小的許可權集合。該方式需要您提供一個AK，存在安全性風險和維護複雜度增加的問題。如何擷取AK，請參見CreateAccessKey - 為RAM使用者建立存取金鑰。如何擷取RAMRoleARN，請參見CreateRole - 建立角色。

添加credentials依賴。

<!-- https://mvnrepository.com/artifact/com.aliyun/credentials-java -->
<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>credentials-java</artifactId>
    <version>0.3.4</version>
</dependency>

配置AK和RAMRoleARN作為訪問憑證。

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentials;
import com.alicloud.openservices.tablestore.core.auth.ServiceCredentials;
import com.aliyun.credentials.models.CredentialModel;

public class RamRoleArnAkDemoTest {

    public static void main(String[] args) {

        com.aliyun.credentials.models.Config config = new com.aliyun.credentials.models.Config();
        // 訪問憑證類型。固定為ram_role_arn
        config.setType("ram_role_arn");
        // 要扮演的RAM角色ARN，樣本值：acs:ram::123456789012****:role/adminrole，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定RoleArn
        config.setRoleArn("<RoleArn>");
        // 從環境變數中擷取AccessKeyId
        config.setAccessKeyId(System.getenv().get("TABLESTORE_ACCESS_KEY_ID"));
        // 從環境變數中擷取AccessKeySecret
        config.setAccessKeySecret(System.getenv().get("TABLESTORE_ACCESS_KEY_SECRET"));
        // 填寫RAM角色的會話名稱
        config.setRoleName("roleSessionName");
        // 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
        config.setPolicy("<Policy>");
        // 設定角色會話有效期間，非必填
        config.setRoleSessionExpiration(3600);

        final com.aliyun.credentials.Client credentialsClient = new com.aliyun.credentials.Client(config);

        CredentialsProvider credentialsProvider = new CredentialsProvider(){
            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                CredentialModel credential = credentialsClient.getCredential();
                return  new DefaultCredentials(credential.getAccessKeyId(), credential.getAccessKeySecret(), credential.getSecurityToken());
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}

使用ECSRAMRole

使用ECSRAMRole配置訪問憑證。該方式底層實現是STS Token。ECSRAMRole允許您將一個角色關聯到ECS執行個體、ECI執行個體或Container Service Kubernetes 版的Worker節點，實現在執行個體內部自動重新整理STS Token。該方式無需您提供一個AK或STS Token，消除了手動維護AK或STS Token的風險。擷取ECSRAMRole的操作請參見CreateRole - 建立角色。

添加credentials依賴。

<!-- https://mvnrepository.com/artifact/com.aliyun/credentials-java -->
<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>credentials-java</artifactId>
    <version>0.3.4</version>
</dependency>

配置ECSRAMRole作為訪問憑證。

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentials;
import com.alicloud.openservices.tablestore.core.auth.ServiceCredentials;
import com.aliyun.credentials.models.CredentialModel;

public class EcsRamRoleDemoTest {

    public static void main(String[] args) {

        com.aliyun.credentials.models.Config config = new com.aliyun.credentials.models.Config();
        // 訪問憑證類型。固定為ecs_ram_role。
        config.setType("ecs_ram_role");
        // 為ECS授予的RAM角色的名稱。選擇性參數。如果不設定，將自動檢索。強烈建議設定，以減少請求。
        config.setRoleName("ECSRAMRole");
        // 開啟ECS執行個體中繼資料加固模式。選擇性參數。強烈建議設定，以提高整體系統的安全性。
        config.setEnableIMDSv2(true);

        final com.aliyun.credentials.Client credentialsClient = new com.aliyun.credentials.Client(config);

        CredentialsProvider credentialsProvider = new CredentialsProvider(){
            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                CredentialModel credential = credentialsClient.getCredential();
                return  new DefaultCredentials(credential.getAccessKeyId(), credential.getAccessKeySecret(), credential.getSecurityToken());
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}

使用OIDCRoleARN

在Container ServiceKubernetes版中設定了Worker節點RAM角色後，對應節點內的Pod中的應用也就可以像ECS上部署的應用一樣，通過中繼資料服務（Meta Data Server）擷取關聯角色的STS Token。但如果容器叢集上部署的是不可信的應用（例如部署您的客戶提交的應用，代碼也未對您開放），您可能並不希望它們能通過中繼資料服務擷取Worker節點關聯執行個體RAM角色的STS Token。為了避免影響雲上資源的安全，同時又能讓這些不可信的應用安全地擷取所需的STS Token，實現應用層級的許可權最小化，您可以使用RRSA（RAM Roles for Service Account）功能。該方式底層實現是STS Token。阿里雲容器叢集會為不同的應用Pod建立和掛載相應的服務賬戶OIDC Token檔案，並將相關配置資訊注入到環境變數中，Credentials工具通過擷取環境變數的配置資訊，調用STS服務的AssumeRoleWithOIDC介面換取綁定角色的STS Token。該方式無需您提供一個AK或STS Token，消除了手動維護AK或STS Token的風險。詳情請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。

添加credentials依賴。

<!-- https://mvnrepository.com/artifact/com.aliyun/credentials-java -->
<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>credentials-java</artifactId>
    <version>0.3.4</version>
</dependency>>

配置OIDC的RAM角色作為訪問憑證。

public class OidcRoleArnDemoTest {

    public static void main(String[] args) {
        com.aliyun.credentials.models.Config config = new com.aliyun.credentials.models.Config();
        // 指定Credential類型，固定值為oidc_role_arn
        config.setType("oidc_role_arn");
        // RAM角色名稱ARN，可以通過環境變數ALIBABA_CLOUD_ROLE_ARN設定RoleArn
        config.setRoleArn("<RoleArn>");
        // OIDC供應商ARN，可以通過環境變數ALIBABA_CLOUD_OIDC_PROVIDER_ARN設定OidcProviderArn
        config.setOidcProviderArn("<OidcProviderArn>");
        // OIDC Token檔案路徑，可以通過環境變數ALIBABA_CLOUD_OIDC_TOKEN_FILE設定OidcTokenFilePath
        config.setOidcTokenFilePath("<OidcTokenFilePath>");
        // 角色會話名稱，可以通過環境變數ALIBABA_CLOUD_ROLE_SESSION_NAME設定RoleSessionName
        config.setRoleSessionName("<RoleSessionName>");
        // 設定更小的權限原則，非必填。樣本值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}
        config.setPolicy("<Policy>");
        // 設定session到期時間
        config.setRoleSessionExpiration(3600);

        final com.aliyun.credentials.Client credentialsClient = new com.aliyun.credentials.Client(config);

        CredentialsProvider credentialsProvider = new CredentialsProvider() {
            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                CredentialModel credential = credentialsClient.getCredential();
                return new DefaultCredentials(credential.getAccessKeyId(), credential.getAccessKeySecret(), credential.getSecurityToken());
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}

使用Function Compute上下文中的Credentials

使用Function Compute上下文中的Credentials配置訪問憑證。該方式底層實現是STS Token。Function Compute根據函數配置的角色，通過扮演服務角色，而擷取一個STS Token，然後通過上下文中的參數Credentials將STS Token傳遞給您的應用程式。該STS Token的有效期間為36小時，且不支援修改。函數的最大執行時間為24小時，因此，執行函數過程中，STS Token不會到期，您無需考慮重新整理問題。該方式無需您提供一個AK或STS Token，消除了手動維護AK或STS Token的風險。如何授予Function Compute訪問Tablestore的許可權，請參見使用函數角色授予Function Compute訪問其他雲端服務的許可權。

使用Java語言實現

添加Function Compute上下文依賴。

<!-- https://mvnrepository.com/artifact/com.aliyun.fc.runtime/fc-java-core -->
<dependency>
    <groupId>com.aliyun.fc.runtime</groupId>
    <artifactId>fc-java-core</artifactId>
    <version>1.4.1</version>
</dependency>

使用Function Compute上下文中的Credentials初始化憑證提供者。

package example;

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentialProvider;
import com.aliyun.fc.runtime.Context;
import com.aliyun.fc.runtime.Credentials;
import com.aliyun.fc.runtime.StreamRequestHandler;

import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;

public class App implements StreamRequestHandler {

    @Override
    public void handleRequest(
            InputStream inputStream, OutputStream outputStream, Context context) throws IOException {

        // 擷取密鑰資訊，執行前，確保函數所在的服務配置了角色資訊，並且角色需要擁有Tablestore的許可權，建議直接使用AliyunFCDefaultRole角色
        Credentials creds = context.getExecutionCredentials();

        // 使用擷取到的憑證建立憑證提供者執行個體
        CredentialsProvider credentialsProvider = new DefaultCredentialProvider(creds.getAccessKeyId(), creds.getAccessKeySecret(), creds.getSecurityToken());

        // 使用credentialsProvider進行後續操作...

        outputStream.write(new String("done").getBytes());
    }
}

使用Python語言實現

使用Function Compute上下文中的Credentials擷取臨時訪問憑證。

# -*- coding: utf-8 -*-

def handler(event, context):
    # 擷取密鑰資訊，執行前，確保函數所在的服務配置了角色資訊，並且角色需要擁有Tablestore的許可權，建議直接使用AliyunFCDefaultRole角色
    creds = context.credentials

    access_key_id = creds.access_key_id
    access_key_secret = creds.access_key_secret
    security_token = creds.security_token

    # 後續操作...

    return 'success'

使用CredentialsURI

使用CredentialsURI配置訪問憑證。該方式底層實現是STS Token。Credentials工具通過您提供的URI擷取STS Token，完成憑證用戶端初始化。該方式無需您提供一個AK或STS Token，消除了手動維護AK或STS Token的風險。提供CredentialsURI響應的後端服務需要實現STS Token的自動重新整理邏輯，確保您的應用程式始終能擷取到有效憑證。

為了使Credentials工具正確解析和使用STS Token，URI必須遵循以下響應協議：

響應狀態代碼：200

響應體結構：

{
    "Code": "Success",
    "AccessKeySecret": "AccessKeySecret",
    "AccessKeyId": "AccessKeyId",
    "Expiration": "2021-09-26T03:46:38Z",
    "SecurityToken": "SecurityToken"
}

添加credentials依賴。

<!-- https://mvnrepository.com/artifact/com.aliyun/credentials-java -->
<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>credentials-java</artifactId>
    <version>0.3.4</version>
</dependency>

配置CredentialsURI作為訪問憑證。

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentials;
import com.alicloud.openservices.tablestore.core.auth.ServiceCredentials;
import com.aliyun.credentials.models.CredentialModel;

public class CredentialsUriDemoTest {
    public static void main(String[] args) {

        com.aliyun.credentials.models.Config config = new com.aliyun.credentials.models.Config();
        // 訪問憑證類型。固定為credentials_uri
        config.setType("credentials_uri");
        // 換取憑證的URI，格式為http://local_or_remote_uri/
        config.setCredentialsUri("<local_or_remote_uri>");

        final com.aliyun.credentials.Client credentialsClient = new com.aliyun.credentials.Client(config);

        CredentialsProvider credentialsProvider = new CredentialsProvider() {
            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                CredentialModel credential = credentialsClient.getCredential();
                return new DefaultCredentials(credential.getAccessKeyId(), credential.getAccessKeySecret(), credential.getSecurityToken());
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}

使用自動輪轉的AK

使用ClientKey配置訪問憑證。使用ClientKey後，Key Management Service（KMS）可以對託管的RAM使用者AK進行全自動的定期輪轉，將靜態RAM使用者AK動態化，從而降低AK泄漏的風險。除定期輪轉外，KMS還支援立即輪轉，在AK泄漏情況下可快速更換AK。該方式無需您手動維護一個AK，從而降低安全性風險和維護複雜度增加的風險。

添加憑據用戶端依賴。

<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>alibabacloud-secretsmanager-client</artifactId>
    <version>1.3.7</version>
</dependency>
<dependency>
  <groupId>com.aliyun</groupId>
  <artifactId>aliyun-java-sdk-core</artifactId>
  <version>4.7.0</version>
</dependency>

建立設定檔secretsmanager.properties。

# 訪問憑據類型，固定為client_key
credentials_type=client_key

# 讀取Client Key的解密密碼：支援從環境變數或者檔案讀取，只需設定一種
client_key_password_from_env_variable=<your client key private key password environment variable name>
client_key_password_from_file_path=<your client key private key password file path>

# Client Key的私密金鑰檔案路徑
client_key_private_key_path=<your client key private key file path>

# 關聯的KMS服務地區
cache_client_region_id=[{"regionId":"<regionId>"}]

使用設定檔來傳遞憑證資訊。

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentials;
import com.alicloud.openservices.tablestore.core.auth.ServiceCredentials;
import com.aliyuncs.kms.secretsmanager.client.SecretCacheClient;
import com.aliyuncs.kms.secretsmanager.client.SecretCacheClientBuilder;
import com.aliyuncs.kms.secretsmanager.client.exception.CacheSecretException;
import com.aliyuncs.kms.secretsmanager.client.model.SecretInfo;
import org.codehaus.jettison.json.JSONException;
import org.codehaus.jettison.json.JSONObject;

public class ClientKeyDemoTest {

    public static void main(String[] args) throws CacheSecretException {
        final SecretCacheClient client = SecretCacheClientBuilder.newClient();
        CredentialsProvider credentialsProvider = new CredentialsProvider() {
            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                try {
                    SecretInfo secretInfo = client.getSecretInfo("<secretName>");
                    JSONObject jsonObject = new JSONObject(secretInfo.getSecretValue());

                    String accessKeyId = jsonObject.getString("AccessKeyId");
                    String accessKeySecret = jsonObject.getString("AccessKeySecret");

                    return new DefaultCredentials(accessKeyId, accessKeySecret);
                } catch (CacheSecretException | JSONException e) {
                    return null;
                }
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}

使用自訂訪問憑證

如果以上憑證配置方式都不滿足要求時，您還可以通過實現Credential Providers介面的方式，來自訂憑證提供方式。如果底層實現是STS Token，需要提供憑證的更新支援。

import com.alicloud.openservices.tablestore.core.auth.CredentialsProvider;
import com.alicloud.openservices.tablestore.core.auth.DefaultCredentials;
import com.alicloud.openservices.tablestore.core.auth.ServiceCredentials;

public class CustomCredentialProviderDemoTest {

    public static void main(String[] args) {

        CredentialsProvider credentialsProvider = new CredentialsProvider(){

            // 初始設定變數
            String accessKeyId = null;
            // 初始設定變數
            String accessKeySecrect = null;
            // 初始設定變數
            // String token = null;

            @Override
            public void setCredentials(ServiceCredentials credentials) {
            }

            @Override
            public ServiceCredentials getCredentials() {
                //TODO
                //自訂訪問憑證的擷取方法

                // 返回長期憑證 access_key_id, access_key_secrect
                return new DefaultCredentials(accessKeyId, accessKeySecrect);

                // 返回 臨時憑證 access_key_id, access_key_secrect, token
                // 對於臨時憑證，需要根據到期時間，重新整理憑證。
                // return new DefaultCredentials(accessKeyId, accessKeySecrect, token);
            }
        };
        // 使用credentialsProvider進行後續操作...
    }
}