通过配置Credentials实现OpenAPI安全调用（Python SDK）

您所在的位置：网站首页 › 阿里云access key是什么 › 通过配置Credentials实现OpenAPI安全调用（Python SDK）

通过配置Credentials实现OpenAPI安全调用（Python SDK）

2024-07-05 20:11| 来源: 网络整理| 查看: 265

当您通过阿里云SDK调用OpenAPI进行资源操作时，必须正确配置凭证信息。阿里云的Credentials工具提供了一套强大的功能，使您能够轻松地获取和管理这些访问凭证。无论是利用默认凭证，AccessKey（AK），还是安全令牌服务（STS）令牌等，Credentials工具都能为您提供相应支持。此外，本文档将详细阐述如何根据优先级使用默认凭证。您将深入理解如何在阿里云SDK中配置和维护凭证，从而确保您对云资源的操作既有效率又具有高度安全性。

背景信息

凭据是指用户证明其身份的一组信息。用户在系统中进行登录时，需要提供正确的凭据才能验证身份。常见的凭据类型有：

阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）。一组由AccessKey ID和AccessKey Secret组成的密钥对。

阿里云RAM角色的STS临时访问Token，简称STS Token。它是可以自定义时效和访问权限的临时身份凭据，详情请参见什么是STS。

Bearer Token。它是一种身份验证和授权的令牌类型。

前提条件

使用Credentials工具要求Python版本 >= 3.0。

使用V2.0版本的阿里云SDK。

自建网关类产品的自研SDK无法使用。

安装Credentials工具

使用pip安装（推荐），如未安装pip,请先安装pip。更多信息，请参见pip官网pip user guide。

pip install alibabacloud_credentials

建议使用最新发布的Credentials工具版本。

请查看ChangeLog.txt获取所有已发布的版本列表。

初始化凭据客户端

Credentials工具支持多种方式初始化凭据客户端，您可根据实际情况选择合适的方式进行凭据客户端初始化。

方式一：使用默认凭据链

当您在初始化凭据客户端不传入任何参数时，Credentials工具会使用默认凭据链方式初始化客户端。默认凭据的读取逻辑请参见默认凭据链。

from alibabacloud_credentials.client import Client as CredClient from alibabacloud_tea_rpc.models import Config # 不指定参数 credentialsClient = CredClient() config = Config(credential=credentialsClient) 接口调用方法

通过默认凭据提供链自动创建访问凭证，并在不使用硬编码AccessKey的情况下成功调用云产品OpenAPI接口。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 使用默认凭证初始化Credentials Client。 credentialsClient = CredClient() ecsConfig = Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint = 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient = EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request = DescribeRegionsRequest() # 初始化运行时配置。 runtime_options = RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response = ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())方式二：使用AK

阿里云账号、RAM用户可生成调用OpenAPI的密钥对AK。如何获取AK请参见文档创建AccessKey。您可使用AK初始化凭据客户端。

警告

阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。

推荐使用最小化授权的RAM用户的AK。

import os from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config = Config( type='access_key', access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), ) cred = Client(config)接口调用方法

通过Credentials工具读取AK，完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

import os # Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # Credentials和云产品SDK都需引入Config from alibabacloud_tea_openapi.models import Config from alibabacloud_credentials.models import Config as CreConfig from alibabacloud_tea_util.models import RuntimeOptions # 使用AK 初始化Credentials Client。 credentialsConfig = CreConfig( # 凭证类型。 type='access_key', # 设置为AccessKey ID值。 access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), # 设置为AccessKey Secret值。 access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), ) credentialClient = CredClient(credentialsConfig) ecsConfig = Config(credential=credentialClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint = 'ecs.aliyuncs.com' # 初始化ECS Client。 ecsClient = EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request = DescribeRegionsRequest() # 初始化运行时配置。 runtime_options = RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response = ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())方式三：使用STS Token

以一个RAM用户的身份调用STS服务的AssumeRole接口，设置Token的最大过期时间，即可换取到临时凭据STS Token。以下示例演示如何使用STS Token初始化凭据客户端（不包含如何获取到STS Token的过程）。

{ "RequestId": "EA7A3526-F7DB-54A5-8300-9B742CFAA5EA", "AssumedRoleUser": { "Arn": "acs:ram::125499367423****:role/STStokenTestRole/STSsessionName", "AssumedRoleId": "35219123109646****:STSsessionName" }, "Credentials": { "SecurityToken": "exampleToken", "AccessKeyId": "STS.exampleAccessKeyID", "AccessKeySecret": "exampleAccessKeySecret", "Expiration": "2023-03-26T05:26:06Z" } }from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config = Config( type='sts', # 需替换为返回数据中获取的临时AccessKeyId。 access_key_id='', # 需替换为返回数据中获取的临时AccessKeySecret。 access_key_secret='', # 需替换为返回数据中获取的临时SecurityToken。 security_token='' ) credClient = Client(config) 接口调用方法

通过Credentials工具读取临时安全令牌（STS Token），完成云产品OpenAPI接口的调用。

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK和STS SDK。

import os # Credentials需引入Client和Config，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.models import Config as CreConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest from alibabacloud_sts20150401.client import Client as Sts20150401Client from alibabacloud_sts20150401.models import AssumeRoleRequest from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 获取RAM用户ak config = Config( access_key_id=os.environ['ALIBABA_CLOUD_ACCESS_KEY_ID'], access_key_secret=os.environ['ALIBABA_CLOUD_ACCESS_KEY_SECRET'] ) config.endpoint = "sts.aliyuncs.com" stsClient = Sts20150401Client(config) # 调AssumeRole API的参数 assume_role_request = AssumeRoleRequest( duration_seconds=3600, # 会话有效时间 role_session_name='35219123109646****:STSsessionName', # 会话角色名 role_arn='acs:ram::125499367423****:role/STStokenTestRole/STSsessionName' # 要模拟的RAM角色arn ) runtime = RuntimeOptions() try: resp = stsClient.assume_role_with_options(assume_role_request, runtime) assumeRoleResponseBodyCredentials = resp.body.credentials # 使用STS Token初始化Credentials Client。 credentialsConfig = CreConfig( # 凭证类型。 type='sts', # 设置为AccessKey ID值。 access_key_id=assumeRoleResponseBodyCredentials.access_key_id, # 设置为AccessKey Secret值。 access_key_secret=assumeRoleResponseBodyCredentials.access_key_secret, # 设置为STS Token值。 security_token=assumeRoleResponseBodyCredentials.security_token ) credentialClient = CredClient(credentialsConfig) ecsConfig = Config(credential=credentialClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint = 'ecs.aliyuncs.com' # 初始化ECS Client。 ecsClient = EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request = DescribeRegionsRequest() # 初始化运行时配置。 runtime_options = RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response = ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map()) except Exception as error: # 错误 message print(error.message) 方式四：使用AK及RamRoleArn

该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。

import os from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.models import Config as CredConfig credentialsConfig = CredConfig( access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), type='ram_role_arn', # 要扮演的RAM角色ARN，示例值：acs:ram::123456789012****:role/adminrole role_arn='', # 角色会话名称 role_session_name='', # 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"} policy='', role_session_expiration=3600 ) credentialsClient = CredClient(credentialsConfig) 接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

import os # Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 使用RamRoleArn初始化Credentials Client。 credentialsConfig = CredConfig( type='ram_role_arn', # 凭证类型。 access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), # 设置为AccessKey Id值。 access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), # 设置为AccessKey Secret值。 role_arn='', # 阿里云RAM用户的角色ARN，格式为acs:ram::userID:role/roleName。 role_session_name='', # 角色会话名称。 role_session_expiration=3600, # 会话有效时间 policy='' # 可选, 限制STS Token的权限。 ) credentialsClient = CredClient(credentialsConfig) ecsConfig = Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint = 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient = EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request = DescribeRegionsRequest() # 初始化运行时配置。 runtime_options = RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response = ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map()) 方式五：使用ECS实例RAM角色和元数据普通模式

该方式底层实现是STS Token。Credentials工具会自动获取ECS实例绑定的RAM角色，调用ECS的元数据服务（Meta Data Server）换取STS Token，完成凭据客户端初始化。ECI实例，容器服务 Kubernetes 版的Worker节点均支持绑定实例RAM角色。

from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.models import Config as CredConfig credentialsConfigig = CredConfig( type='ecs_ram_role', # 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数 role_name='' ) credentialsClient = CredClient(CredConfig) 接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 使用EcsRamRole初始化Credentials Client。 credentialsConfig = CredConfig( type='ecs_ram_role', # 凭证类型。 role_name='' # ECS RAM Role名称，建议设置该项。 ) credentialsClient = CredClient(credentialsConfig) ecsConfig=Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint= 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient=EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request=DescribeRegionsRequest() # 初始化运行时配置。 runtime_options=RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response=ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())方式六：使用ECS实例RAM角色和元数据加固模式

什么是加固模式，请参见加固模式的介绍。通过采用ECS实例的元数据加固策略来获取RAM角色的初始化凭据。相较于普通模式，此方式采纳了一种更为严谨的安全逻辑：首先在ECS实例内部自动生成一个具有时效限制的token，利用此token作为凭据，向元数据服务（Metadata Server）请求获得STS（Security Token Service）临时凭证。这一系列操作构成了凭据客户端的安全初始化流程。

加固模式的核心优势在于，ECS实例内部产生的token不仅具备动态性，还严格限制了有效时间，大大降低了外部攻击者通过预测或伪造token来非法访问元数据服务的可能性，从而有效抵御了服务器端请求伪造（SSRF, Server-Side Request Forgery）等多种网络安全隐患。总之，采用ECS实例元数据加固模式，不仅加强了身份验证的严密性，还显著提高了整体系统的安全性，为云上资源的访问与管理增设了一道坚固的防线。

from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config credConfig = Config( type='ecs_ram_role', # credential type role_name='roleName', # `role_name` is optional. It will be retrieved automatically if not set. It is highly recommended to set it up to reduce requests. enable_imds_v2=True # `enable_imds_v2` is optional and is recommended to be turned on. It can be replaced by setting environment variable: ALIBABA_CLOUD_ECS_IMDSV2_ENABLE ) credClient = Client(credConfig) access_key_id = credClient.get_access_key_id() access_key_secret = credClient.get_access_key_secret() security_token = credClient.get_security_token() cred_type = credClient.get_type() 重要

enable_imds_v2的默认值为False，表示通过ECS实例元数据普通模式获取RAM角色初始化凭据客户端。

通过ECS实例元数据加固模式获取RAM角色初始化凭据客户端时，enable_imds_v2的值为True。

接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 使用EcsRamRole初始化Credentials Client。 credentialsConfig = CredConfig( type='ecs_ram_role', # 凭证类型。 role_name='', # ECS RAM Role名称，建议设置该项。 enable_imds_v2=True # 使用IMDS V2。 ) credentialsClient = CredClient(credentialsConfig) ecsConfig = Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint = 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient = EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request = DescribeRegionsRequest() # 初始化运行时配置。 runtime_options = RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response = ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map()) 方式七：使用OIDCRoleArn

在容器服务 Kubernetes 版中设置了Worker节点RAM角色后，对应节点内的Pod中的应用也就可以像ECS上部署的应用一样，通过元数据服务（Meta Data Server）获取关联角色的STS Token。但如果容器集群上部署的是不可信的应用（比如部署您的客户提交的应用，代码也没有对您开放），您可能并不希望它们能通过元数据服务获取Worker节点关联实例RAM角色的STS Token。为了避免影响云上资源的安全，同时又能让这些不可信的应用安全地获取所需的 STS Token，实现应用级别的权限最小化，您可以使用RRSA（RAM Roles for Service Account）功能。阿里云容器集群会为不同的应用Pod创建和挂载相应的服务账户OIDC Token文件，并将相关配置信息注入到环境变量中，Credentials工具通过获取环境变量的配置信息，调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取绑定角色的STS Token。详情请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

注入的环境变量如下：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

import os from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config = Config( type='oidc_role_arn', access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN'), role_arn=os.environ.get('ALIBABA_CLOUD_ROLE_ARN'), oidc_provider_arn=os.environ.get('ALIBABA_CLOUD_OIDC_PROVIDER_ARN'), oidc_token_file_path=os.environ.get('ALIBABA_CLOUD_OIDC_TOKEN_FILE'), # 角色会话名称 role_session_name='', # 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"} policy='', # 设置session过期时间 role_session_expiration=3600 ) cred = Client(config) access_key_id = cred.get_access_key_id() access_key_secret = cred.get_access_key_secret() security_token = cred.get_security_token() cred_type = cred.get_type()接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions import os # 使用OIDCRoleArn初始化Credentials Client。 credentialsConfig = CredConfig( type='oidc_role_arn', access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), security_token=os.environ.get('ALIBABA_CLOUD_SECURITY_TOKEN'), role_arn=os.environ.get('ALIBABA_CLOUD_ROLE_ARN'), oidc_provider_arn=os.environ.get('ALIBABA_CLOUD_OIDC_PROVIDER_ARN'), oidc_token_file_path=os.environ.get('ALIBABA_CLOUD_OIDC_TOKEN_FILE'), # 角色会话名称 role_session_name='', # 设置更小的权限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"} policy='', # 设置session过期时间 role_session_expiration=3600 ) credentialsClient = CredClient(credentialsConfig) ecsConfig=Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint= 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient=EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request=DescribeRegionsRequest() # 初始化运行时配置。 runtime_options=RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response=ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())

方式八：使用URI凭据

该方案底层实现是STS Token。Credentials工具通过您提供的URI获取STS Token，完成凭据客户端初始化。

from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config = Config( type='credentials_uri', # 换取凭证的 URI，格式为http://local_or_remote_uri/ credentials_uri='', ) cred = Client(config) access_key_id = cred.get_access_key_id() access_key_secret = cred.get_access_key_secret() security_token = cred.get_security_token() cred_type = cred.get_type() 接口调用方法

指定Credentials提供地址，实现通过本地或远程的URI来获取并自动更新Token，完成云产品接口的调用。

调用单个云产品的接口需要云产品依赖。本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions # 使用URI凭据初始化Credentials Client。 credentialsConfig = CredConfig( type='credentials_uri', # 凭证类型。 credentials_uri='local_or_remote_uri', # Credentials URI，格式为http://local_or_remote_uri/。 ) credentialsClient = CredClient(credentialsConfig) ecsConfig=Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint= 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient=EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request=DescribeRegionsRequest() # 初始化运行时配置。 runtime_options=RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response=ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())方式九：使用Bearer Token

目前只有云呼叫中心CCC这款产品支持Bearer Token的凭据初始化方式。

from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config = Config( type='bearer', # 填入您的Bearer Token bearer_token='', ) cred = Client(config) access_key_id = cred.get_access_key_id() access_key_secret = cred.get_access_key_secret() security_token = cred.get_security_token() cred_type = cred.get_type() 接口调用方法

本示例以调用云服务器ECS的DescribeRegions接口为例，因此需先安装ECS SDK。

# Credentials和云产品SDK都需引入Client，此处为创建别名。 from alibabacloud_credentials.client import Client as CredClient from alibabacloud_credentials.client import Config as CredConfig # 引入阿里云ECS SDK，此处以ECS产品为例。 from alibabacloud_ecs20140526.client import Client as EcsClient # 使用ECS DescribeRegions接口发起调用请求。 from alibabacloud_ecs20140526.models import DescribeRegionsRequest # 引入阿里云SDK核心包。 from alibabacloud_tea_openapi.models import Config from alibabacloud_tea_util.models import RuntimeOptions import os # 使用Bearer Token初始化Credentials Client。 credentialsConfig = CredConfig( type='bearer', # 凭证类型。 bearer_token='', # 服务器端自动生成的Bearer Token，带有效期。 ) credentialsClient = CredClient(credentialsConfig) ecsConfig=Config(credential=credentialsClient) # 配置云产品服务接入地址（endpoint）。 ecsConfig.endpoint= 'ecs.aliyuncs.com' # 使用Credentials Client初始化ECS Client。 ecsClient=EcsClient(ecsConfig) # 初始化DescribeRegions请求。 request=DescribeRegionsRequest() # 初始化运行时配置。 runtime_options=RuntimeOptions() # 调用DescribeRegions接口并获得响应。 response=ecsClient.describe_regions_with_options(request, runtime_options) print(response.to_map())默认凭据链

当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用cred = CredClient()初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。

1. 使用环境变量

Credentials工具优先在环境变量中获取凭据信息。如果系统环境变量ALIBABA_CLOUD_ACCESS_KEY_ID（密钥Key）和 ALIBABA_CLOUD_ACCESS_KEY_SECRET（密钥Value）不为空，Credentials工具会优先使用它们作为默认凭据。

2. 使用OIDC RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取如下内容：

ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；

ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；

ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；

若以上三个环境变量都有设置内容，Credentials工具将会使用变量内容调用STS服务的AssumeRoleWithOIDC - OIDC角色SSO时获取扮演角色的临时身份凭证接口换取STS Token作为默认凭据。

3. 使用配置文件

若不存在优先级更高的凭据信息，Credentials工具优先在如下位置查找文件是否存在。

Linux系统：~/.alibabacloud/credentials.ini

Windows系统：C:\Users\USER_NAME\.alibabacloud\credentials.ini

您也可通过指定 ALIBABA_CLOUD_CREDENTIALS_FILE 指定配置文件路径。如果文件存在，程序将会使用配置文件中default 指定的凭据信息初始化凭据客户端，当然您也可以通过设置 ALIBABA_CLOUD_PROFILE 环境变量修改默认读取的凭据信息。

[default] enable = true type = access_key access_key_id = foo access_key_secret = bar [client1] type = ecs_ram_role role_name = EcsRamRoleTest [client2] enable = false type = ram_role_arn region_id = cn-test policy = test access_key_id = foo access_key_secret = bar role_arn = role_arn role_session_name = session_name [client3] type = rsa_key_pair public_key_id = publicKeyId private_key_file = /your/pk.pem [client4] enable = false type = oidc_role_arn region_id = cn-test policy = test access_key_id = foo access_key_secret = bar role_arn = role_arn oidc_provider_arn = oidc_provider_arn oidc_token_file_path = /xxx/xxx role_session_name = session_name4. 使用ECS实例RAM角色

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_ECS_METADATA（ECS实例RAM角色名称），若存在，程序将会通过ECS的元数据服务（Meta Data Server）获取ECS实例RAM角色的STS Token作为默认凭据信息。

5. 使用Credentials工具 URI

若不存在优先级更高的凭据信息，Credentials工具会在环境变量中获取ALIBABA_CLOUD_CREDENTIALS_URI，若存在，程序会将该环境变量的值作为Credentials工具 URI地址，在调用时，获取临时安全凭证。

如何保护凭据信息

凭据信息泄露导致系统被攻击是云上业务普遍存在的一种安全问题，您可通过如下方案避免在代码中暴露明文凭据信息，降低凭据泄露的风险。

推荐使用ECS实例RAM角色或者使用STS方式。

推荐使用默认凭据链，使用环境变量或者配置文件记录凭据信息。

如使用显示初始化方案初始化凭据客户端，推荐使用系统属性及环境变量记录凭据信息，通过os.getenv及 os.environ.get获取。

from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config import os config = Config( type='access_key', access_key_id=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_ID'), access_key_secret=os.environ.get('ALIBABA_CLOUD_ACCESS_KEY_SECRET'), ) cred = Client(config) access_key_id = cred.get_access_key_id() access_key_secret = cred.get_access_key_secret() cred_type = cred.get_type() 如何切换凭据

当您想要在程序中使用不同的访问凭据调用不同OpenAPI时，可以通过如下方式。

使用多个凭据客户端

通过初始化多个凭据客户端，传入到不同的接口请求客户端。

from alibabacloud_credentials.client import Client from alibabacloud_credentials.models import Config config1 = Config( type='access_key', access_key_id='', access_key_secret='', ) cred1 = Client(config1) config2 = Config( type='access_key', access_key_id='', access_key_secret='', ) cred2 = Client(config2) 使用AuthUtils

当我们初始化凭据客户端采用配置文件记录凭据信息时，可以使用auth_util.client_type切换到不同的凭据配置上。

[default] enable=true type=access_key access_key_id= access_key_secret= [client1] enable=true type=sts access_key_id= access_key_secret= security_token= [client2] enable=true type=ecs_ram_role role_name=

示例代码如下。

from alibabacloud_credentials.utils import auth_util from alibabacloud_credentials.client import Client # 若不配置AuthUtils类clientType属性，则默认使用default。 credentialClient = Client() # 切换到client1凭据上 auth_util.client_type="client1" credentialClient1 = Client() # 切换到client2凭据上 auth_util.client_type="client2" credentialClient2 = Client()相关文档

基本概念

创建AccessKey

RAM SDK概览

STS SDK概览

API参考

【本文地址】

通过配置Credentials实现OpenAPI安全调用（Python SDK）

通过配置Credentials实现OpenAPI安全调用（Python SDK）

今日新闻

推荐新闻