Terraform：Terraform 身份認證

靜態配置是指直接在 Terraform 設定檔的 provider 塊中定義訪問憑證。

參數

provider "alicloud" {
  access_key = "<Access Key ID>"
  secret_key = "<Access Key Secret>"
  # 如果使用 STS 憑證，需配置 security_token
  # security_token = "<STS Token>"
}

樣本配置

為提高安全性，建議通過變數傳入訪問憑證，而非在設定檔中寫入程式碼明文，且變數不設定預設值：

variable "access_key_id" {
  description = "The AccessKey ID for operating your infrastructure"
}
variable "access_key_secret" {
  description = "The AccessKey Secret for operating your infrastructure"
}
variable "security_token" {
  description = "The Security Token for operating your infrastructure"
}
provider "alicloud" {
  access_key = var.access_key_id
  secret_key = var.access_key_secret
  # 如果使用 STS 憑證，需配置 security_token
  # security_token = var.security_token
}

運行 terraform 命令時，可通過 -var 選項傳入變數值：

$ terraform plan -var access_key_id="<Access Key ID>" -var access_key_secret="<Access Key Secret>" -var security_token="<STS Token>"

將訪問憑證儲存在環境變數中。當設定檔中未靜態配置憑證時，Terraform 會從指定的環境變數中讀取憑證。

參數

樣本配置

# AccessKey ID
$ export ALICLOUD_ACCESS_KEY="<AccessKey ID>"
# AccessKey Secret
$ export ALICLOUD_SECRET_KEY="<AccessKey Secret>"
# 如果使用 STS 憑證，需配置 security_token
$ export ALICLOUD_SECURITY_TOKEN="<STS Token>"

provider "alicloud" {
  region = "cn-hangzhou"
}

當 Terraform 運行在 ECS 執行個體上時，可使用 ECS 服務角色進行身份認證。通過為 ECS 執行個體關聯一個 RAM 角色，執行個體內部的應用程式（包括 Terraform）可以自動擷取並重新整理臨時訪問憑證。此方式無需配置 AccessKey，降低了密鑰泄露風險，並可通過 RAM 角色實現精細化的許可權控制。詳情請參見執行個體RAM角色。

參數

樣本配置

1. 準備一台具有公網訪問能力的 ECS 執行個體。

2. 建立一個 RAM 角色，並將其綁定到該 ECS 執行個體。

3. 在 provider 塊中設定 ecs_role_name 參數，其值為該 RAM 角色的名稱：

provider "alicloud" {
  ecs_role_name = "<綁定到 ECS 執行個體上的 RAM 角色名稱>"
}

該參數也支援通過環境變數 ALICLOUD_ECS_ROLE_NAME 設定。

基於 ECS 服務角色的認證方式安全性高，建議在 ECS 執行個體中執行 Terraform 時使用此方式。

OIDC 角色扮演與角色扮演（AssumeRole）類似，都是通過擷取 RAM 角色的臨時憑證來訪問阿里雲資源。其區別在於，OIDC 角色扮演所扮演的身份由 OIDC 身份供應商（IdP）頒發。詳情請參見管理OIDC身份供應商。

參數

配置 OIDC 角色扮演時，所有相關參數均在 assume_role_with_oidc 塊中設定：

樣本配置

OIDC 角色扮演認證是通過調用 AssumeRoleWithOIDC - OIDC角色SSO時擷取扮演角色的臨時身份憑證 實現。配置前，需準備以下資訊：

1. 建立 OIDC 身份供應商，從外部 IdP 擷取 OIDC 令牌（OIDC Token），並記錄供應商的 ARN 和 OIDC Token。

2. 建立一個授信實體為“身份供應商”的 RAM 角色，為其授予要求的權限（如 AliyunOSSFullAccess），並記錄該角色的 ARN。

3. （可選）編寫一個 RAM 自訂權限原則（如僅允許訪問杭州地區的 Bucket），用於與角色許可權取交集，以實現更精細的存取控制。

準備完成後，在 provider 塊中進行如下配置：

provider "alicloud" {
  assume_role_with_oidc {
    oidc_provider_arn  = "<OIDC 身份供應商的 ARN>"
    oidc_token         = "<外部 IDP 申請簽發的 OIDC Token>"
    role_arn           = "<RAM 角色的 ARN>"
    policy             = "<RAM 權限原則的具體內容>"
    role_session_name  = "<自訂的角色會話名稱>"
    session_expiration = <臨時身份訪問憑證的最大有效期間>
  }
}

阿里雲Container Service ACK 支援通過 RRSA 功能自動建立 OIDC Provider 和簽發 OIDC 令牌。詳情請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。開啟 RRSA 後，ack-pod-identity-webhook 組件會自動為 Pod 注入 ALIBABA_CLOUD_OIDC_PROVIDER_ARN、ALIBABA_CLOUD_OIDC_TOKEN_FILE 和 ALIBABA_CLOUD_ROLE_ARN 環境變數。在此環境下，若要在 ACK Pod 內運行 Terraform，上述樣本可簡化為：

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

如果不需要通過 policy 參數進行精細化授權，可直接將要求的權限授予 RAM 角色。此時，配置可進一步簡化：

provider "alicloud" {
  region = "cn-hangzhou"
  assume_role_with_oidc {
    session_name = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

角色扮演（AssumeRole）適用於需要將許可權與身份（如 RAM 使用者或 ECS 執行個體角色）分離，或需要跨帳號訪問資源的情境。它通過一個已有身份（如 RAM 使用者）扮演另一個 RAM 角色，從而擷取該角色的臨時憑證來訪問資源。

參數

配置角色扮演時，支援以下參數：

1. access_key / secret_key 用於扮演角色的 RAM 使用者的 AccessKey。該使用者必須擁有 sts:AssumeRole 許可權。這些參數也支援通過環境變數設定。

2. assume_role：是一個配置塊，包含以下參數：

樣本配置

角色扮演認證通過調用 AssumeRole - 擷取扮演角色的臨時身份憑證 實現。配置前，需準備以下內容：

1. 建立一個 RAM 使用者，並授予 AliyunSTSAssumeRoleAccess 策略（或包含 sts:AssumeRole 許可權的自訂策略）。

2. 為該 RAM 使用者建立 AccessKey。

3. 建立一個授信實體為“阿里雲帳號”的 RAM 角色，為其授予要求的權限（如 AliyunOSSFullAccess），並記錄該角色的 ARN。

4. （可選）編寫一個 RAM 自訂權限原則，用於與角色許可權取交集，以實現更精細的存取控制。

準備完成後，在 provider 塊中進行如下配置：

provider "alicloud" {
  # 用於調用 AssumeRole 的 RAM 使用者的 AccessKey ID
  access_key = "<RAM 使用者的 AccessKey ID>"
  # 用於調用 AssumeRole 的 RAM 使用者的 AccessKey Secret
  secret_key = "<RAM 使用者的 AccessKey Secret>"
  assume_role {
    role_arn           = "<一個 RAM 角色的 ARN>"
    policy             = "<一個 RAM 權限原則的具體內容>"
    session_name       = "<一個自訂的角色會話名稱>"
    session_expiration = <臨時身份訪問憑證的最大有效期間>
  }
}

以下樣本示範了如何通過角色扮演擷取訪問杭州地區 OSS Bucket 列表的許可權。為安全起見，樣本中的 access_key 和 secret_key 通過環境變數設定，未在代碼中明文寫入：

provider "alicloud" {
  # 為了安全起見，此處的 access_key 和 secret_key 已經通過環境變數進行了設定
  region = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

如果 Terraform 運行在 ECS 執行個體上，可結合 ECS 服務角色，避免寫入程式碼 AccessKey。此時，只需為綁定到 ECS 執行個體的 RAM 角色授予 AliyunSTSAssumeRoleAccess 策略即可。配置方式如下：

provider "alicloud" {
  ecs_role_name = "<綁定到 ECS 執行個體上的 RAM 角色名稱>"
  region        = "cn-hangzhou"
  assume_role {
    role_arn           = "acs:ram::11827xxxxxx:role/tf-assume-role"
    policy             = <<EOF
    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "oss:ListBuckets",
          "Resource": "acs:oss:oss-cn-hangzhou:*:*"
        }
      ]
    }
    EOF
    session_name       = "terraform-assume-role-session"
    session_expiration = 1000
  }
}

通過訪問一個指定的 URI 來擷取憑證。

參數

樣本配置

provider "alicloud" {
  region = "cn-hangzhou"
  credentials_url= "http://credentials.uri/"
}