配置STS臨時(shí)訪問憑證

如果您需要在規(guī)定時(shí)間內(nèi)訪問Tablestore，您可以通過STS服務(wù)頒發(fā)一個(gè)STS臨時(shí)訪問憑證。臨時(shí)訪問憑證無需透露您的RAM用戶密鑰，使Tablestore的訪問更加安全。

1. 創(chuàng)建RAM用戶。具體操作，請參見創(chuàng)建RAM用戶。

2. 為RAM用戶授予 AliyunSTSAssumeRoleAccess權(quán)限。具體操作，請參見為RAM用戶授權(quán)。

3. 創(chuàng)建RAM角色，并為RAM角色授予自定義權(quán)限策略。具體操作，請參見創(chuàng)建RAM角色和為RAM角色授予自定義權(quán)限策略。

4. 使用RAM用戶扮演RAM角色獲取STS臨時(shí)訪問憑證。具體操作，請參見獲取STS臨時(shí)訪問憑證。

5. 配置STS臨時(shí)訪問憑證。

   環(huán)境變量

   1. 使用臨時(shí)身份憑證設(shè)置環(huán)境變量。

      Mac OS X/Linux/Unix

      export OTS_AK_ENV=<OTS_AK_ENV>
      export OTS_SK_ENV=<OTS_SK_ENV>
      export OTS_SESSION_TOKEN=<OTS_SESSION_TOKEN>

      Windows

      以管理員身份運(yùn)行命令提示符，執(zhí)行以下命令。

      setx OTS_AK_ENV <OTS_AK_ENV> /m
      setx OTS_SK_ENV <OTS_SK_ENV> /m
      setx OTS_SESSION_TOKEN <OTS_SESSION_TOKEN> /m

      說明

      環(huán)境變量配置完成后，為確保新的設(shè)置被正確應(yīng)用，您可能需要重啟相關(guān)的開發(fā)工具（IDE等）或服務(wù)。

   2. 通過環(huán)境變量來傳遞憑證信息。

      # -*- coding: utf-8 -*-
      import os
      
      access_key_id = os.getenv("OTS_AK_ENV")
      access_key_secret = os.getenv("OTS_SK_ENV")
      sts_token = os.getenv("OTS_SESSION_TOKEN")

   靜態(tài)憑證

   您可以在代碼中使用變量來引用憑證，這些變量在運(yùn)行時(shí)會被環(huán)境變量、配置文件或其他外部數(shù)據(jù)源中的實(shí)際憑證值填充。

   以下操作步驟以配置文件為例。

   1. 創(chuàng)建配置文件config.ini。

      [configName]
      OTS_AK_ENV = <OTS_AK_ENV>
      OTS_SK_ENV = <OTS_SK_ENV>
      OTS_SESSION_TOKEN = <OTS_SESSION_TOKEN>

   2. 使用配置文件來傳遞憑證信息。

      # -*- coding: utf-8 -*-
      import configparser
      
      # 讀取配置文件
      config = configparser.ConfigParser()
      # 假設(shè)config.ini位于腳本同級目錄下
      config.read('config.ini')
      
      # 從配置文件中獲取Access Key ID和Access Key Secret
      access_key_id = config.get('configName', 'OTS_AK_ENV')
      access_key_secret = config.get('configName', 'OTS_SK_ENV')
      security_token = config.get('configName', 'OTS_SESSION_TOKEN')

使用函數(shù)計(jì)算上下文中的Credentials

如果您的應(yīng)用程序的函數(shù)部署運(yùn)行在函數(shù)計(jì)算中，您可以使用函數(shù)計(jì)算上下文中的Credentials獲取臨時(shí)訪問憑證。

該方式底層實(shí)現(xiàn)是STS Token。函數(shù)計(jì)算根據(jù)函數(shù)配置的角色，通過扮演服務(wù)角色，而獲取一個(gè)STS Token，然后通過上下文中的參數(shù)Credentials將STS Token傳遞給您的應(yīng)用程序。該STS Token的有效期為36小時(shí)，且不支持修改。函數(shù)的最大執(zhí)行時(shí)間為24小時(shí)，因此，執(zhí)行函數(shù)過程中，STS Token不會過期，您無需考慮刷新問題。該方式無需您提供一個(gè)AK或STS Token，消除了手動維護(hù)AK或STS Token的風(fēng)險(xiǎn)。如何授予函數(shù)計(jì)算訪問Tablestore的權(quán)限，請參見授予函數(shù)計(jì)算訪問其他云服務(wù)的權(quán)限。

1. 使用函數(shù)計(jì)算上下文中的Credentials獲取臨時(shí)訪問憑證。

   # -*- coding: utf-8 -*-
   
   def handler(event, context):
       # 獲取密鑰信息，執(zhí)行前，確保函數(shù)所在的服務(wù)配置了角色信息，并且角色需要擁有Tablestore的權(quán)限，建議直接使用AliyunFCDefaultRole角色
       creds = context.credentials
   
       access_key_id = creds.access_key_id
       access_key_secret = creds.access_key_secret
       security_token = creds.security_token
   
       # 后續(xù)操作...
   
       return 'success'

環(huán)境變量

1. 使用AK設(shè)置環(huán)境變量。

   Mac OS X/Linux/Unix

   export OTS_AK_ENV=<OTS_AK_ENV>
   export OTS_SK_ENV=<OTS_SK_ENV>

   Windows

   以管理員身份運(yùn)行命令提示符，執(zhí)行以下命令。

   setx OTS_AK_ENV <OTS_AK_ENV> /m
   setx OTS_SK_ENV <OTS_SK_ENV> /m

   說明

   環(huán)境變量配置完成后，為確保新的設(shè)置被正確應(yīng)用，您可能需要重啟相關(guān)的開發(fā)工具（IDE等）或服務(wù)。

2. 使用環(huán)境變量來傳遞憑證信息。

   # -*- coding: utf-8 -*-
   import os
   
   access_key_id = os.getenv("OTS_AK_ENV")
   access_key_secret = os.getenv("OTS_SK_ENV")

靜態(tài)憑證

您可以在代碼中使用變量來引用憑證，這些變量在運(yùn)行時(shí)會被環(huán)境變量、配置文件或其他外部數(shù)據(jù)源中的實(shí)際憑證值填充。

以下操作步驟以配置文件為例。

1. 創(chuàng)建配置文件config.ini。

   [configName]
   OTS_AK_ENV = <OTS_AK_ENV>
   OTS_SK_ENV = <OTS_SK_ENV>

2. 使用配置文件來傳遞憑證信息。

   # -*- coding: utf-8 -*-
   import configparser
   
   # 讀取配置文件
   config = configparser.ConfigParser()
   # 假設(shè)config.ini位于腳本同級目錄下
   config.read('config.ini')
   
   # 從配置文件中獲取Access Key ID和Access Key Secret
   access_key_id = config.get('configName', 'OTS_AK_ENV')
   access_key_secret = config.get('configName', 'OTS_SK_ENV')