背景信息

在使用阿里云SDK進行開發時，需要根據具體的應用場景和授權需求選擇合適的訪問憑據類型，并正確配置和管理這些憑據。通過合理設置環境變量或配置文件，確保SDK能夠正確讀取和使用憑據，從而幫助開發者構建穩定、可靠的應用程序。

前提條件

• Go 環境版本必須不低于 1.10.x。

• 安裝 SDK 核心庫 Core

  go get -u github.com/aliyun/alibaba-cloud-sdk-go/sdk

初始化憑據客戶端

方式一：使用默認憑證鏈

當您在初始化憑據客戶端不傳入任何參數時，SDK會使用默認憑據鏈方式初始化客戶端。默認憑據的讀取邏輯請參見默認憑據鏈。

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials/provider"
)

func main() {
    config := sdk.NewConfig()
    
    // 不傳參數
    credentialsProvider := credentials.NewDefaultCredentialsProvider()
    
    // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou。
    sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)
    
    // 省略調用API步驟...
}

方式二：使用AK

阿里云賬號和RAM用戶可以生成用于調用OpenAPI的AccessKey密鑰對，您可以使用該AccessKey初始化客戶端。

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    config := sdk.NewConfig()

    // 這里通過環境變量獲取RAM用戶的AccessKey ID和AccessKey Secret，以避免硬編碼帶來的安全風險
    credentialsProvider := credentials.NewStaticAKCredentialsProvider(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"), os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"))
    
    // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou
    sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)
    
    // 省略調用API步驟...
}

方式三：使用STS Token

通過安全令牌服務（Security Token Service，簡稱 STS），申請臨時安全憑證（Temporary Security Credentials，簡稱 TSC），創建臨時安全客戶端。

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    config := sdk.NewConfig()

    // 這里通過環境變量獲取RAM用戶的AccessKey ID、AccessKey Secret和STS Token，以避免硬編碼帶來的安全風險
    credentialsProvider := credentials.NewStaticSTSCredentialsProvider(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"), os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"), os.Getenv("ALIBABA_CLOUD_SECURITY_TOKEN"))
    
    // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)
    
    // 省略調用API步驟...
}

方式四：使用AK及RamRoleArn

通過指定RAM角色的ARN（Alibabacloud Resource Name）來初始化客戶端。客戶端在發起請求前，需先通過調用STS服務獲取STS Token。若需限制STS Token的權限，可使用自定義權限策略.

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    config := sdk.NewConfig()
    
    credentialsProvider := credentials.NewRamRoleArnWithPolicyAndExternalIdCredential(
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")：從環境變量中獲取RAM用戶AccessKey ID
        os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID"),
        // os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")：從環境變量中獲取RAM用戶AccessKey Secret
        os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET"),
        // "<ROLE_ARN>"：指定要扮演的RAM角色的ARN。示例值：acs:ram::123456789012****:role/adminrole。
        "<ROLE_ARN>",
        // "<ROLE_SESSION_NAME>"：指定角色會話的名稱，用于標識和區分不同的會話。示例值：alice。
        "<ROLE_SESSION_NAME>",
        // "<POLICY>"：指定一個自定義的授權策略用于限制角色會話的權限。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}。
        "<POLICY>",
        // "<EXTERNAL_ID>"：指定一個角色外部ID，防止混淆代理人問題。示例值：abcd1234。
        "<EXTERNAL_ID>",
        // <ROLE_SESSION_EXPIRATION>：Token 有效期。示例值：3600。
        "<ROLE_SESSION_EXPIRATION>"
    )
    
    // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)
    
    // 省略調用API步驟...
}

方式五：使用ECS實例RAM角色

package main

import (
    "os"

    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    
    // 通過ECS實例的RAM角色來獲取訪問憑證，從而創建一個阿里云客戶端
    // 它適用于那些需要在ECS實例上運行，并且需要訪問其他阿里云資源的程序
    // "<ROLE_NAME>"：指定要使用的RAM角色名稱，您可以在環境變量ALIBABA_CLOUD_ECS_METADATA中設置 roleName 默認值。示例值：alice。
   credentialsProvider := credentials.NewECSRAMRoleCredentialsProvider("<ROLE_NAME>")
   
   // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou。
   client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)

   // 省略調用API步驟...
}

方式六：使用OIDCRoleArn

package main

import (
	"os"

	"github.com/aliyun/alibaba-cloud-sdk-go/sdk"
	"github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    config := sdk.NewConfig()

    // 使用OIDCRoleArn初始化SDK客戶端
    oidcProvider, _ := credentials.NewOIDCCredentialsProviderBuilder().
	// OIDC提供商ARN，可以通過環境變量ALIBABA_CLOUD_OIDC_PROVIDER_ARN設置OIDCProviderARN
	WithOIDCProviderARN(os.Getenv("ALIBABA_CLOUD_OIDC_PROVIDER_ARN")).
	// OIDC Token文件路徑，可以通過環境變量ALIBABA_CLOUD_OIDC_TOKEN_FILE設置OIDCTokenFilePath
	WithOIDCTokenFilePath(os.Getenv("ALIBABA_CLOUD_OIDC_TOKEN_FILE")).
	// RAM角色名稱ARN，可以通過環境變量ALIBABA_CLOUD_ROLE_ARN設置RoleArn
	WithRoleArn(os.Getenv("ALIBABA_CLOUD_ROLE_ARN")).
	// "<ROLE_SESSION_NAME>"：自定義角色會話名稱。示例值：alice。
	WithRoleSessionName("<ROLE_SESSION_NAME>").
	// "<POLICY>"：設置更小的權限策略，非必填。示例值：{"Statement": [{"Action": ["*"],"Effect": "Allow","Resource": ["*"]}],"Version":"1"}。
	WithPolicy("<POLICY>").
	// <ROLE_SESSION_EXPIRATION>：設置session過期時間。示例值：3600。
	WithDurationSeconds( "<ROLE_SESSION_EXPIRATION>").
	Build()
        
        // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou。
	client, err := sdk.NewClientWithOptions("<REGION_ID>", config, oidcProvider)

        // 省略調用API步驟...
}

方式七：使用Bearer Token

目前只有云呼叫中心CCC這款產品支持Bearer Token的憑據初始化方式。

package main

import (
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk"
    "github.com/aliyun/alibaba-cloud-sdk-go/sdk/auth/credentials"
)

func main() {
    config := sdk.NewConfig()

    // <BEARER_TOKEN>是一種認證方式，用于授權訪問API
    credentialsProvider := credentials.NewBearerTokenCredentialsProvider("BEARER_TOKEN")
    
    // <REGION_ID>：指定客戶端要訪問的阿里云區域。示例值:cn_hangzhou。
    client, err := sdk.NewClientWithOptions("<REGION_ID>", config, credentialsProvider)

    // 省略調用API步驟...
}

默認憑據鏈

當開發環境與生產環境使用的憑據類型不一致時，常見做法是在代碼中獲取當前環境信息，編寫獲取不同憑據的分支代碼。借助Credentials工具的默認憑據鏈，您可以用同一套代碼，通過程序之外的配置來控制不同環境下的憑據獲取方式。當您使用credentials.NewDefaultCredentialsProvider()初始化憑據客戶端，且不傳入任何參數時，阿里云SDK將會嘗試按照如下順序查找相關憑據信息。

1. 使用環境變量

2. 使用OIDC RAM角色

3. 使用config.json配置文件

{
	"current": "default",
	"profiles": [
		{
			"name": "default",
			"mode": "AK",
			"access_key_id": "<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret": "<ALIBABA_CLOUD_ACCESS_KEY_SECRET>"
		},
		{
			"name":"client1",
			"mode":"RamRoleArn",
			"access_key_id":"<ALIBABA_CLOUD_ACCESS_KEY_ID>",
			"access_key_secret":"<ALIBABA_CLOUD_ACCESS_KEY_SECRET>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client2",
			"mode":"EcsRamRole",
			"ram_role_name":"<RAM_ROLE_ARN>"
		},
		{
			"name":"client3",
			"mode":"OIDC",
			"oidc_provider_arn":"<OIDC_PROVIDER_ARN>",
			"oidc_token_file":"<OIDC_TOKEN_FILE>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		},
		{
			"name":"client4",
			"mode":"ChainableRamRoleArn",
			"source_profile":"<PROFILE_NAME>",
			"ram_role_arn":"<ROLE_ARN>",
			"ram_session_name":"<ROLE_SESSION_NAME>",
			"expired_seconds":3600
		}
	]
}

4. ECS實例RAM角色

5. 使用Credentials工具URI