应用身份服务：最佳实践：ECS 无静态凭据获取 STS Token

步骤 1：在资产管理中添加云账号和系统云角色

进入 IDaaS EIAM 控制台的资产管理 > 云身份，添加目标阿里云账号。按照控制台引导完成身份提供商、系统云角色和检测项配置，确认云账号和系统云角色均处于“可用”状态。参考：

步骤 2：添加最终获取 STS 的目标云角色

在已托管云账号的云角色管理中添加目标 RAM 角色。确认该云角色处于“启用”和“可用”状态；RAM 侧的角色信任策略按 IDaaS 控制台引导信任对应身份提供商，角色权限策略仅授予业务所需资源权限。

步骤 3：创建 M2M Client 并配置 PKCS#7 联邦凭证

1. 在左侧导航栏单击M2M应用管理。

2. 单击添加应用，选择OIDC with M2M应用类型。

3. 填写应用名称等基本信息，完成创建并记录 client_id。

4. 进入登录 > 认证配置 > 联邦信任源管理。如果已存在与当前阿里云账号匹配的 PKCS#7 联邦信任源，可直接选择使用，无需为每个 M2M Client 新建；仅在不存在可用联邦信任源时，按下表新增。

5. 打开 M2M Client 的通用配置 > 认证管理，选择 PKCS#7 并新增应用联邦凭证。

步骤 4：授予 PAM 功能权限

1. 在左侧导航栏单击权限中心，再选择功能权限管理。

2. 在功能权限管理页面搜索 Privileged Access Management 应用，单击授权管理。

3. 选择应用授权；在被授权应用中选择刚创建的 M2M Client，在选择权限中搜索并授予“获取云角色访问凭证（cloud_account_role:obtain_access_credential）”。

步骤 5：授予云角色数据权限

1. 在左侧导航栏单击权限中心，再选择数据权限管理。

2. 添加授权规则，填写授权规则基础信息后完成创建。

3. 选择刚创建的授权规则，单击权限管理。

4. 在关联身份页签选择应用，选择刚创建的 M2M Client。

5. 在资产管理页签选择云角色，单击添加资产，选择最终获取 STS Token 的目标云角色。

步骤 6：下载并引入 IDaaS SDK

1. 在 GitHub 上获取最新版 IDaaS SDK；当前支持 Java 和 Python。

2. 按 SDK README 完成依赖配置。

步骤 7：录入 SDK 配置文件

1. 创建 client-config.json，默认可放在 ~/.cloud_idaas/client-config.json。

2. 在 GitHub 上找到 IDaaS Core SDK。

3. 在对应的SDK Github 中，查看对应README.md 或 README_zh.md文件，在文件中找到PKCS#7 client-config.json 示例，复制示例配置到刚创建的client-config.json中；示例如下：

{
  "idaasInstanceId": "idaas_xxx",
  "clientId": "app_xxx",
  "issuer": "https://xxx/api/v2/iauths_system/oauth2",
  "tokenEndpoint": "https://xxx/api/v2/iauths_system/oauth2/token",
  "scope": "urn:cloud:idaas:pam|cloud_account_role:obtain_access_credential",
  "openApiEndpoint": "eiam.[region_id].aliyuncs.com",
  "developerApiEndpoint": "eiam-developerapi.[region_id].aliyuncs.com",
  "authnConfiguration": {
    "identityType": "CLIENT",
    "authnMethod": "PKCS7",
    "applicationFederatedCredentialName": "ecs-pkcs7-credential",
    "clientDeployEnvironment": "ALIBABA_CLOUD_ECS"
  },
  "httpConfiguration": {
    "connectTimeout": 5000,
    "readTimeout": 10000
  }
}

步骤 8：代码接入

按 SDK 快速开始完成以下操作：

1. 初始化 IDaaS Core SDK。

2. 传入目标云角色 ARN，创建阿里云凭证提供器。

3. 获取 STS 临时凭证。

    public static void main(String[] args) {
        // 1. 初始化 IDaaS Core SDK
        IDaaSCredentialProviderFactory.init();
        // 2. 创建阿里云凭证提供器
        AlibabaCloudCredentialsProvider credentialsProvider =
                IDaaSPamAklessCredentialFactory.getAlibabaCloudCredentialsProvider(
                        "acs:ram::123456789:role/your-role-name"
                );
        // 3. 获取凭证
        CredentialModel credentials = credentialsProvider.getCredentials();
        System.out.println(credentials.getAccessKeyId());
        System.out.println(credentials.getAccessKeySecret());
        System.out.println(credentials.getSecurityToken());
    }