应用身份服务：通过IDaaS M2M在 ECS 中实现无静态凭据获取STS Token

创建PKCS#7联邦信任源

此信任源用于让 EIAM 能够验证来自 ECS 实例的 PKCS#7 身份签名。

1. 登录IDaaS管理控制台，在顶部切换至目标地域。在左侧导航栏中，选择EIAM 云身份服务。

2. 在页面右侧区域，定位目标EIAM实例，单击操作列下的访问控制台，进入该实例的管理后台。

3. 在EIAM实例管理后台的左侧菜单栏，单击登录，随后单击认证配置 > 联邦信任源管理 > 新增联邦信任源。

4. 在弹出的面板中选择PKCS#7并单击下一步。设置如下信息后，单击确定。更多信息请参见联邦信任源管理。

   配置项	说明	示例值
   联邦信任源名称	自定义联邦信任源名称。	test-ecs-credential-source
   信任来源	选择信息来源。本方案选择阿里云。	阿里云
   填写验签证书	单击获取云厂商证书，即可完成验签证书和云账户 ID的自动填写。	-

创建M2M Client应用

此应用代表 ECS 实例上的业务程序，用于发起认证请求。

1. 在EIAM实例管理后台的左侧菜单栏，选择应用管理 > M2M应用管理。

2. 单击添加应用，设置应用名称为“M2M Client”，单击立即添加，进入应用详情页。

3. 在客户端权限管理页签下，打开自定义权限开关。

4. 在通用配置页签下，单击凭证管理 > 凭证类型 > PKCS#7 > 新增联邦凭证。设置如下信息后，单击确定。更多信息请参见创建联邦凭证。

   配置项	说明	示例值
   联邦信任源	指定前面步骤创建的联邦信任源。	test-ecs-credential-source
   联邦凭证名称	自定义联邦凭证名称。	test-ecs-credential
   校验条件模式	本方案指定为指定云服务器实例模式。	指定云服务器实例模式
   云服务器实例ID	指定已有的云服务器ECS实例ID，通过单击右侧的，可填写多个。	i-bp1******wfkx

创建M2M Server应用

此应用作为 OIDC Provider，定义了颁发给 RAM 的 AccessToken 的受众（aud）和范围（scope）。

1. 在EIAM实例管理后台的左侧菜单栏，选择应用管理 > M2M应用管理。

2. 单击添加应用，设置应用名称为“M2M Server”，单击立即添加，进入应用详情页。

3. 在服务端权限开放页签下，单击权限应用下的服务端权限开放开关，在弹出的面板中，设置受众标识后，单击确定。

   说明

   受众标识建议设置为：cloud:idaas:sts:alibabacloud:<account-id>。其中 <account-id> 需替换为当前的阿里云主账号 ID。

4. 单击权限管理 > 添加权限，设置如下信息后，单击确定。

   • 权限名称：自定义权限名称，如：assume-role。

   • 权限标识：自定义权限标识，建设设置为：role:assume。

5. 在授权应用下开启M2M客户端开关，并在权限列表中勾选选择上一步添加的权限（如：assume-role），单击确定。

创建OIDC身份提供商

1. 进入RAM控制台的OIDC配置页面，单击创建身份提供商。

2. 在创建身份提供商页面，设置如下信息后，单击创建身份提供商。更多信息请参见管理OIDC身份提供商。

   配置项	说明	示例值
   身份提供商名称	同一个阿里云账号下必须唯一。	test-oidc-provider
   颁发者URL	进入M2M 应用（Server）详情页，复制通用配置 > 应用配置信息下 Issuer 处显示的URL，并填写至此处。	https://8******n.aliyunidaas.com/api/v2/iauths_system/oauth2
   验证指纹	填写完颁发者URL后，可单击获取指纹，阿里云将自动计算出验证指纹并显示。	-
   客户端ID	进入M2M 应用（Server）详情页，复制服务端权限开放 > 权限应用 > 受众标识处的值，并填写至此处。	cloud:idaas:sts:alibabacloud:13******76

创建RAM角色

1. 进入RAM控制台的角色页面，单击创建角色。创建OIDC身份提供商的RAM角色

2. 在创建角色页面的右上角，单击切换编辑器并选择可视化编辑模式。

3. 设置主体。

   1. 选择身份提供商。

   2. 单击身份提供商下方的编辑。随后，在弹出的添加主体面板，设置身份提供商类型为OIDC，身份提供商为前一步骤创建的OIDC身份提供商（例如：test-oidc-provider），最后单击确定。

4. 设置限制条件。

   单击添加条件，设置条件键为oidc:sub、运算符为StringEquals、条件值为“M2M Client”应用的 client_id，最后单击确定。

   说明

   在M2M Client 应用详情页面的通用配置 > 凭证管理 > 凭证类型 > Client Secret 凭证，即可查看client_id。

5. 单击页面底部的确定，在弹出的面板中设置角色名称后，单击确定。

6. 在角色详情页面，单击权限管理 > 新增授权，根据需求设置权限策略（例如：AliyunOSSReadOnlyAccess），最后单击确认新增授权。

获取ECS实例标识签名

1. 登录目标服务器ECS。详情可参考选择ECS远程连接方式。

2. 在服务器终端中执行以下脚本，最终输出的结果字符串即为ECS实例标识签名。更多信息可参见获取实例标识文档/签名。

   # 请替换以下的<IDaaS 实例 ID>为当前IDaaS 实例 ID，如：idaas_xxx
   IDAAS_INSTANCE_ID="<IDaaS 实例 ID>"
   
   # 1. 获取ECS访问凭证，需设置有效期，不可包含标头X-Forwarded-For
   TOKEN=$(curl -s -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds:1200")
   
   # 2. 构造完整的 URL（注意：audience参数的值是 URL 编码后的 JSON 字符串）
   # 获取当前时间戳（秒级）
   SIGNING_TIME=$(date +%s)
   URL="http://100.100.100.200/latest/dynamic/instance-identity/pkcs7?audience=%7B%22aud%22%3A%22$IDAAS_INSTANCE_ID%22%2C%22signingTime%22%3A$SIGNING_TIME%7D"
   
   # 3. 获取ECS实例标识签名
   curl -s -w '\n' -H "X-aliyun-ecs-metadata-token: $TOKEN" "$URL"

   audience 参数的生成规则：

   获取ECS实例标识签名时，请求参数必须包含 audience 字段，其取值需按以下流程生成。

   1. 构造 audience 的原始内容，格式为 JSON 字符串，字段说明如下：

      • aud：固定为 IDaaS 实例 ID。

      • signingTime：生成签名时的 Unix 时间戳（秒）。

      # URIEncode 前（JSON 字符串）
      {"aud":"idaas_xxx","signingTime":1750131608}

   2. 对上述 JSON 字符串进行 URIEncode 编码，编码结果作为 audience 的最终取值。

      # URIEncode 后（作为 audience 参数值）
      %7B%22aud%22%3A%22idaas_xxx%22%2C%22signingTime%22%3A1750131608%7D

获取M2M AccessToken

正确设置以下脚本中的变量和参数后，在服务器终端中执行。更多信息可参见PKCS#7 签名认证。

curl -s --request POST \
  --url '<M2M应用（Client）的令牌端点>' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'client_id=app_xxx' \
  --data-urlencode 'client_assertion_type=urn:cloud:idaas:params:oauth:client-assertion-type:pkcs7-bearer' \
  --data-urlencode 'client_assertion=xxx' \
  --data-urlencode 'scope=xxx|xxx' \
  --data-urlencode 'application_federated_credential_name=xxx'

• <M2M应用（Client）的令牌端点>

  进入M2M应用（Client）详情页，在通用配置 > 应用配置信息 > 令牌端点处，即可查看令牌端点的URL地址。例如：https://8******n.aliyunidaas.com/api/v2/iauths_system/oauth2/token。

• 请求参数

  参数	说明
  grant_type	固定值为：client_credentials。
  client_id	M2M应用（Client）的应用ID。例如：app_nfb******dzq。 进入M2M应用（Client）的详情页，在通用配置 > 基础信息 > 应用ID处，即可查看。
  client_assertion_type	固定值为：urn:cloud:idaas:params:oauth:client-assertion-type:pkcs7-bearer。
  client_assertion	上一步获取的ECS实例标识签名。
  scope	格式：M2M应用（Server）的受众标识|M2M应用（Server）的权限标识。 例如：cloud:idaas:sts:alibabacloud:62******39|role:assume。
  application_federated_credential_name	M2M应用（Client）的联邦凭证名称。例如：test-ecs-credential。

• 响应结果

  {
    "token_type": "Bearer",
    "access_token": "eyJraQ******E13GvA",
    "expires_in": 3600,
    "expires_at": 1766063256
  }

  参数	说明
  token_type	固定值为Bearer。
  access_token	IDaaS EIAM签发的AccessToken，后续业务可根据此Token获取RAM的STS Token。
  expires_in	access_token的有效时长，单位为秒。
  expires_at	access_token的过期时间（Unix时间戳），单位为秒。

获取M2M AccessToken时，脚本执行失败

请按以下步骤检查：

1. 网络连通性：在 ECS 实例上执行 curl -v https://<EIAM 实例 ID>.aliyunidaas.com，检查是否能成功访问 EIAM 的公网域名。

2. 元数据服务：执行 curl http://100.100.100.200/latest/meta-data/，检查实例元数据服务是否可访问。

3. 脚本变量：仔细核对脚本中的 IDAAS_INSTANCE_ID、TOKEN_ENDPOINT、CLIENT_ID 等变量是否填写正确。

4. ECS 实例授权：检查 EIAM 的 M2M Client 应用中配置的“云服务器实例ID”是否为当前执行脚本的 ECS 实例的 ID。

获取M2M AccessToken 时，EIAM 返回 invalid_scope 错误

这是因为 scope 参数格式不正确，请进行如下检查：

1. 检查分隔符：EIAM 要求 scope 参数中的多个值使用竖线 | 分隔，而非 OAuth 2.0 标准的空格。请确保格式为 <M2M Server的受众标识>|<M2M Server的权限标识>。

2. 检查授权：确认 M2M Client 应用是否已在 M2M Server 应用的“授权应用”页签中被授权，并勾选了相应权限。

调用 AssumeRoleWithOIDC 时，RAM 返回 InvalidIdentityToken 错误

通常由 OIDC 身份提供商的配置与 EIAM 应用配置不匹配导致。请务必确保 RAM OIDC 身份提供商的“颁发者URL”和“客户端ID”与 EIAM M2M Server 应用的“颁发者 URL”和“受众标识”完全一致。

调用 AssumeRoleWithOIDC 时，RAM 返回 AccessDenied 错误

这表示 RAM 角色信任策略的条件不满足，请进行如下检查：

• 检查 oidc:sub：确认 RAM 角色信任策略 Condition 中的 oidc:sub 值是否为 EIAM M2M Client 应用的client_id。此处极易误填为 Server 应用的 ID。

• 检查 oidc:aud：确认 Condition 中的 oidc:aud 值是否与 RAM OIDC 身份提供商的“客户端ID”一致。