应用身份服务：通过M2M无AK访问云资源配置流程

标准凭证类

联邦凭证类（无静态凭证的核心）

联邦凭证的统一请求形态：在 Token 请求中以 client_assertion_type + client_assertion 提交外部身份证明，替代自有静态凭证：

三种联邦凭证均支持两级表达式做精细准入（由管理员在联邦信任源与应用联邦凭证上配置）：

• 信任条件（trustCondition）：基于断言内容的表达式，例如限定实例 ID、地域、命名空间、证书主题等

• 验证条件（verificationCondition）：应用联邦凭证级别的二次校验，用于在多应用共用信任源时收窄范围

运行时凭证类（PLUGIN）

阿里云（详见 3.2 节）

AWS（详见 3.3 节）

GCP（详见 3.4 节）

Azure（详见 3.5 节）

腾讯云（详见 3.6 节）

华为云（详见 3.7 节）

火山引擎（详见 3.8 节）

线下 IDC 与自建环境（详见 3.9 节）

选型一句话原则：优先使用部署环境的原生身份（PKCS#7 / OIDC / PLUGIN 联邦凭证，零静态凭证）；环境不提供可验证的原生身份时，退而求其次使用 private_key_jwt 或 PCA（私钥不直接上线、可吊销）；client_secret 类方式仅建议用于入门验证与开发期。

3.2.1 ECS（虚拟机）—— PKCS#7 联邦凭证

ECS 实例可通过实例元数据服务获取平台签发的实例身份文档及 PKCS#7 签名，签名由阿里云根证书背书，实例上无需保存任何密钥；获取签名时在 audience 中绑定目标 IDaaS 实例与签名时间，用于防重放。IDaaS 侧创建 PKCS#7 联邦信任源（信任来源选择"阿里云"），M2M 客户端应用添加联合凭证后，以签名作为 client_assertion（pkcs7-bearer）换取 AccessToken。

接入时注意：签名短时效，获取后应立即发起 Token 请求、不要缓存复用；信任条件可将准入收窄到指定地域等属性。完整操作步骤参见官方场景文档最佳实践：ECS 无静态凭据获取 STS Token。

3.2.2 ACK（容器）—— OIDC 联邦凭证（RRSA）

ACK 的 RRSA（Resource Role for ServiceAccount） 机制让 Pod 通过其 ServiceAccount 获得平台签发的 OIDC Token：安装 ack-pod-identity-webhook 组件后，令牌文件路径注入到容器环境变量 ALIBABA_CLOUD_OIDC_TOKEN_FILE，应用直接读取即可。IDaaS 侧创建 OIDC 联邦信任源（Issuer 填 ACK 集群的 OIDC 签发者地址，JWKS 自动发现或指定 URI），以该 Token 作为 client_assertion（id-token-bearer）换取 AccessToken；信任条件可限定命名空间与 ServiceAccount，实现 Pod 级权限隔离。

完整操作步骤参见官方场景文档最佳实践：ACK 无静态凭据获取 STS Token。该模式同样适用于自建 Kubernetes 集群，接入要点见 3.9.1 节。

3.2.3 函数计算 FC —— PLUGIN（OpenAPI 认证）

函数计算等托管运行时无法访问实例元数据服务、也不便挂载联邦凭证材料，但运行时自带阿里云角色凭证（STS）。PLUGIN 方式复用这份运行时凭证调用 IDaaS OpenAPI 换取 M2M AccessToken——对函数代码而言同样零静态凭证。函数的执行角色需具备调用 IDaaS OpenAPI 的 RAM 权限。

SDK 使用文档参见《IDaaS EIAM SDK》与《环境准备》。

3.3.1 EC2 —— PKCS#7 联邦凭证

AWS EC2 通过 IMDS（实例元数据服务，建议启用 IMDSv2）提供实例身份文档及 PKCS#7 签名，机制与阿里云 ECS 同源同类。IDaaS 的 PKCS#7 联邦信任源支持选择 AWS 作为信任来源，创建后以 EC2 实例身份签名作为 client_assertion（pkcs7-bearer）换取 AccessToken，请求形态与阿里云 ECS（3.2.1 节）一致。建议通过信任条件限定 AWS 账号 ID、区域等属性收窄准入面；官方端到端场景文档尚未发布，落地前请与阿里云 IDaaS 团队确认产品发布状态。

3.3.2 EKS —— OIDC 联邦凭证

EKS 集群原生暴露 OIDC 签发者与公开 JWKS 端点（IRSA 机制所依赖），可按 3.2.2 节 ACK 的同一模式接入：将 EKS 集群 OIDC Issuer 配置为 IDaaS OIDC 联邦信任源，Pod 以 ServiceAccount Token 作为 client_assertion（id-token-bearer）。信任条件可限定命名空间与 ServiceAccount。具体签发者与 JWKS 地址以集群配置为准。

3.4.1 GCE（虚拟机）—— OIDC 联邦凭证

GCE 实例可从元数据服务器获取实例默认服务账号的 OIDC 身份令牌（audience 可指定），签发方可通过 Google 公开 JWKS 验证。接入方式：在 IDaaS 创建 OIDC 联邦信任源（Issuer 为 Google 身份服务地址，JWKS 从 Issuer 发现或指定 URI），实例以该身份令牌作为 client_assertion 完成 client_credentials 认证；信任条件可绑定实例相关的 claims。

3.4.2 GKE（容器）—— OIDC 联邦凭证

GKE 依托 Workload Identity 为工作负载提供平台签发的身份令牌。接入模式与 3.2.2 节一致：集群工作负载身份令牌作为 OIDC 联邦凭证断言提交 IDaaS。要求该令牌的签发者与 JWKS 可被 IDaaS 访问，具体以 GKE 集群配置为准。

3.5.1 VM（虚拟机）—— OIDC 联邦凭证（托管标识）

Azure VM 可开启托管标识（Managed Identity），应用通过实例元数据服务获取由 Microsoft Entra ID 签发的签名 JWT。接入方式：在 IDaaS 创建 OIDC 联邦信任源——Issuer 配置为租户的 Microsoft Entra ID 令牌签发地址，JWKS 从其公开发现端点获取，audiences 按托管标识令牌的 aud（即 resource 参数对应的资源标识）配置；实例以该令牌作为 client_assertion（id-token-bearer）完成认证。信任条件可绑定租户、资源等 claims。

3.5.2 AKS（容器）—— OIDC 联邦凭证（Workload Identity）

AKS 支持 Workload Identity 联合身份：集群暴露 OIDC 签发者与 JWKS 端点，Pod 以 ServiceAccount 令牌作为身份证明。接入模式与 3.2.2 节 ACK 一致：将 AKS 集群的 OIDC 签发者配置为 IDaaS OIDC 联邦信任源，令牌作为 client_assertion 提交，信任条件限定命名空间与 ServiceAccount。

3.6.1 CVM（虚拟机）—— private_key_jwt / PCA 联邦凭证

腾讯云 CVM 未提供类似阿里云/AWS 的公开签名实例身份文档机制，无法使用 PKCS#7 联邦凭证。推荐：

• private_key_jwt：私钥文件随部署分发（建议结合配置管理加密分发），公钥上传 IDaaS；私钥不出现在请求中，泄漏面可控

• PCA 联邦凭证（已有企业 PKI 时优先）：证书私钥泄漏后可通过 CRL 吊销，止损能力优于裸私钥

3.6.2 TKE（容器）—— OIDC 联邦凭证

TKE 支持为集群提供 ServiceAccount 令牌签发能力。若集群暴露 OIDC 签发者与 JWKS 端点，即可按 3.2.2 节 ACK 模式接入 IDaaS OIDC 联邦信任源。另外，IDaaS 已发布腾讯云云账号托管能力（参见《腾讯云身份管理》），可配合用于目标云侧的凭据管理。

3.7.1 ECS（虚拟机）—— private_key_jwt / PCA 联邦凭证

与腾讯云 CVM 同理：华为云 ECS 元数据不提供可供第三方验证的公开实例身份签名（IAM 委托属资源级授权、不产生可携带的身份证明），推荐 private_key_jwt 或 PCA 联邦凭证。

3.7.2 CCE（容器）—— OIDC 联邦凭证

CCE 集群若配置了 ServiceAccount 令牌签发者（OIDC Issuer + JWKS），按 3.2.2 节 ACK 模式接入。华为云侧已有 IAM 身份中心与 IDaaS 的 SSO 集成文档（人员身份），机器身份侧按本文通用 OIDC 联邦凭证模式对接。

3.8.1 云服务器（虚拟机）—— private_key_jwt / PCA 联邦凭证

截至本文更新时，火山引擎云服务器未提供公开、可由第三方验签的实例身份文档机制（以官方文档为准），无法使用 PKCS#7 联邦凭证，推荐 private_key_jwt 或 PCA 联邦凭证，做法与腾讯云 CVM（3.6.1 节）相同。

3.8.2 VKE（容器）—— OIDC 联邦凭证（IRSA）

火山引擎容器服务 VKE 支持 IRSA（IAM Roles for Service Accounts）能力，可为 Pod 签发 ServiceAccount OIDC Token 并暴露签发者与 JWKS 端点（参见火山引擎 IRSA 概述）。接入模式与 3.2.2 节 ACK 一致：将 VKE 集群的 OIDC 签发者配置为 IDaaS OIDC 联邦信任源，Pod 以 ServiceAccount Token 作为 client_assertion（id-token-bearer）完成认证，信任条件限定命名空间与 ServiceAccount。

3.9.1 自建 Kubernetes 集群 —— OIDC 联邦凭证

标准 Kubernetes 集群原生具备 OIDC 身份签发能力：kube-apiserver 按 ServiceAccount 令牌签发参数为 Pod 签发受限令牌（bound token）——由集群密钥签名、包含 iss / aud / exp / 命名空间 / ServiceAccount 名称等 claims 的 JWT。接入步骤：

1. 集群侧：为 kube-apiserver 配置 ServiceAccount 令牌签发参数（--service-account-issuer、--service-account-signing-key-file 等），并将 JWKS 端点（apiserver 的 /.well-known/openid-configuration 与 /openid/v1/jwks）发布到 IDaaS 可访问的地址（该端点默认仅集群内可达，通常经反向代理或对象存储外发）

2. IDaaS 侧：创建 OIDC 联邦信任源，Issuer 填集群签发者地址，JWKS 选择静态上传或指定 JWKS URI

3. 应用侧：读取挂载的 ServiceAccount Token（ServiceAccount Token 投影卷）作为 client_assertion（id-token-bearer），模式与 3.2.2 节 ACK 一致

4. 信任条件限定命名空间与 ServiceAccount，实现集群内多业务的权限隔离

3.9.2 自建机房 / 裸金属 / 通用服务器 —— PCA 或 private_key_jwt

线下环境没有平台背书的原生身份，需要自建信任根。PCA 联邦凭证适用于已有企业 PKI 或高合规要求的场景：客户端证书与中间证书链随请求提交，IDaaS 用上传的私有 CA 根证书验证证书链并支持 CRL 吊销检查，私钥泄漏后可立即吊销止损。private_key_jwt 适用于无 PKI、快速接入的场景：RSA-2048 私钥本地保管，公钥 PEM 上传 IDaaS。安全优先级上 PCA 优于裸私钥——后者泄漏后只能靠轮换密钥被动应对。

3.9.3 本地开发环境

开发期首选 private_key_jwt（私钥放本地环境变量，杜绝 secret 进代码库）；快速验证可用 client_secret，但 secret 必须通过环境变量注入、禁止写入代码与配置文件提交。使用 SDK 配置文件切换环境，可保证开发/生产认证方式平滑迁移。

3.9.4 CI/CD 流水线

平台支持 OIDC（如 GitHub Actions 的 IdP 令牌）时，用平台签发的 OIDC 令牌作断言走 OIDC 联邦凭证，零静态凭证；平台无 OIDC 时用 private_key_jwt——私钥存平台 Secrets 注入，公钥在 IDaaS，泄露后可在 IDaaS 删除公钥止损。