本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。
在使用阿里云SDK调用OpenAPI进行资源操作时，正确配置凭证信息至关重要。阿里云Credentials工具提供了一整套便捷功能，支持多种凭证类型，包括默认凭证、AccessKey（AK）以及STS令牌等，以帮助您高效获取和管理访问凭证。本文将详细介绍各种类型凭证的配置方法以及如何根据优先级使用默认凭证。通过本文，您将深入理解如何在阿里云SDK中配置和维护凭证，从而确保对云资源的操作既高效又具有高度安全性。
阿里云主账号和RAM用户的永久凭据 AccessKey（简称AK）是由AccessKey ID和AccessKey Secret组成的密钥对。
使用Credentials工具要求PHP版本 >= 5.6。强烈建议您使用cURL扩展，并使用TLS后端编译cURL 7.16.2+。
使用V2.0代系的阿里云SDK。
使用最新发布Credentials依赖包，确保所有凭证支持。
Credentials工具的配置参数定义在AlibabaCloud\Credentials\Credential\Config中，凭据类型由必填参数type指定。确定凭据类型后，需根据该凭据类型选择相应的参数。下表将详细介绍type的取值范围及各类凭据类型所支持的参数。其中，√表示必填参数，-表示可选参数，×表示不支持参数。
未在下表中列出的凭据类型及参数表示不建议继续使用。
type
access_key
sts
ram_role_arn
ecs_ram_role
oidc_role_arn
credentials_uri
bearer
accessKeyId：访问凭据ID。
accessKeySecret：访问凭据密钥。
securityToken：STS Token。
roleArn：RAM角色的ARN。
roleSessionName：自定义会话名称，默认格式为phpSdkRoleSessionName。
roleName：RAM角色名称。
disableIMDSv1：是否强制使用加固模式，默认值为false。
bearerToken：bearer token。
policy：自定义权限策略。
roleSessionExpiration：会话过期时间，默认3600秒。
oidcProviderArn：OIDC提供商ARN。
oidcTokenFilePath：OIDC Token文件路径。
credentialsURI：凭证的URI。
timeout：HTTP请求的读超时时间，默认值为5000毫秒。
connectTimeout：HTTP请求的连接超时时间，默认值为10000毫秒。
Credentials工具支持多种方式初始化凭据客户端，您可根据实际情况选择合适的方式进行凭据客户端初始化。
在项目中使用明文AccessKey，容易因代码仓库权限管理不当造成AccessKey泄露，会威胁该账号下所有资源的安全。建议通过环境变量、配置文件等方式获取AccessKey。
阿里云主账号拥有资源的全部权限，AK一旦泄露，会给系统带来巨大风险，不建议使用。
推荐使用最小化授权的RAM用户的AK。
该方式底层实现是STS Token。通过指定RAM角色的ARN（Alibabacloud Resource Name），Credentials工具可以帮助开发者前往STS换取STS Token。您也可以通过为policy赋值来限制RAM角色到一个更小的权限集合。
ECS和ECI实例均支持绑定实例RAM角色，运行于实例中的程序可通过Credentials工具自动获取该角色的STS Token，从而完成凭据客户端的初始化。
Credentials工具将默认采用加固模式（IMDSv2）访问ECS的元数据服务（Meta Data Server），在使用加固模式时若发生异常，将使用普通模式兜底来获取访问凭据。您也可以通过设置参数disableIMDSv1或环境变量ALIBABA_CLOUD_IMDSV1_DISABLE，执行不同的异常处理逻辑：
当值为false（默认）时，会使用普通模式继续获取访问凭据。
当值为true时，表示只能使用加固模式获取访问凭据，会抛出异常。
服务端是否支持IMDSv2，取决于您在服务器的配置。
另外，您可以通过配置环境变量ALIBABA_CLOUD_ECS_METADATA_DISABLED=true来关闭ECS元数据的凭证访问。
使用加固模式获取临时身份凭证时，credentials的版本不低于1.2.0。
注入的环境变量如下：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN；
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN；
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径；
通过在应用内部封装STS Token服务并对外提供自定义URI，其他服务仅能通过该URI获取STS Token，这样能够有效降低AK等信息的暴露风险。Credentials工具支持通过请求该服务的URI来获取STS Token，从而实现凭据客户端的初始化。
该地址必须满足如下条件：
支持GET请求。
响应 200 状态码。
响应体为如下的结构：
当您的程序开发环境和生产环境采用不同的凭据类型，常见做法是在代码中获取当前环境信息，编写获取不同凭据的分支代码。借助Credentials工具的默认凭据链，您可以用同一套代码，通过程序之外的配置来控制不同环境下的凭据获取方式。当您在不传入参数的情况下，直接使用$credential = new Credential();初始化凭据客户端时，阿里云SDK将会尝试按照如下顺序查找相关凭据信息。
如果未找到系统属性中的凭据信息，Credentials工具会继续检查环境变量。
如果 ALIBABA_CLOUD_ACCESS_KEY_ID 和 ALIBABA_CLOUD_ACCESS_KEY_SECRET 均存在且非空，则使用它们作为默认凭据。
如果同时设置了 ALIBABA_CLOUD_ACCESS_KEY_ID、ALIBABA_CLOUD_ACCESS_KEY_SECRET 和 ALIBABA_CLOUD_SECURITY_TOKEN，则使用STS Token作为默认凭据。
如果未找到更高优先级的凭据信息，Credentials工具会检查以下与OIDC RAM角色相关的环境变量：
ALIBABA_CLOUD_ROLE_ARN：RAM角色名称ARN。
ALIBABA_CLOUD_OIDC_PROVIDER_ARN：OIDC提供商ARN。
ALIBABA_CLOUD_OIDC_TOKEN_FILE：OIDC Token文件路径。
AK：使用用户的Access Key作为凭据信息；
StsToken：使用STS Token作为凭据信息；
RamRoleArn：使用RAM角色的ARN来获取凭据信息；
EcsRamRole：利用ECS绑定的RAM角色来获取凭据信息；
OIDC：通过OIDC ARN和OIDC Token来获取凭据信息；
配置完成后，Credentials将根据配置文件中current所指定的凭据名称，选择对应的凭据初始化凭据客户端。此外，还可以通过环境变量 ALIBABA_CLOUD_PROFILE 指定具体的凭据名称，例如将 ALIBABA_CLOUD_PROFILE 的值设置为client1。
如果未找到更高优先级的凭据信息，Credentials会尝试通过ECS实例绑定的RAM角色获取凭据。默认情况下，Credentials会使用加固模式（IMDSv2）访问ECS的元数据服务（Meta Data Server），以获取ECS实例RAM角色的STS Token作为默认凭据信息。程序会自动访问ECS的元数据服务拿到RoleName信息，再去获取凭证，也就是两次请求。若想减少一次请求，可以直接在环境变量中配置 ALIBABA_CLOUD_ECS_METADATA 来指定实例RAM角色名称。在使用加固模式时若发生异常，将使用普通模式兜底来获取访问凭据。您也可以通过设置环境变量 ALIBABA_CLOUD_IMDSV1_DISABLE，执行不同的异常处理逻辑：
当值为false时，会使用普通模式继续获取访问凭据。
当值为true时，表示只能使用加固模式获取访问凭据，会抛出异常。
服务端是否支持IMDSv2，取决于您在服务器的配置。
另外，您可以通过配置环境变量ALIBABA_CLOUD_ECS_METADATA_DISABLED=true来关闭ECS元数据的凭证访问。
如果上述方式均未找到有效的凭据信息，Credentials工具会检查环境变量 ALIBABA_CLOUD_CREDENTIALS_URI，如果该变量存在且指向一个有效的URI地址，Credentials会向该URI发起HTTP请求，获取临时安全凭证作为默认凭据。
可通过自定义程序链代替默认程序链的寻找顺序，也可以自行编写闭包传入提供者。
Session类型凭据包含RamRoleArn、ECS实例RAM角色、OIDCRoleArn以及URI凭据。该类型凭据Credentials工具中内置了自动刷新机制，在第一次调用服务获取访问凭据之后，Credentials工具会将获取的访问凭据保存到缓存中。当后续使用访问凭据时，若当前系统时间仍在缓存过期时间之前，将自动从缓存中提取凭据；否则，将重新调用相应服务获取访问凭据，并更新缓存中的值。
针对ECS实例RAM角色凭据，Credentials工具会提前15分钟刷新缓存中的值。
下面将采用单例模式创建凭据客户端，并利用该凭据客户端初始化云产品客户端。随后，将通过多个时间段调用OpenAPI，以验证是否使用了内部缓存，并在缓存过期后检验凭据是否会刷新。
根据日志显示结果进行分析：
在第一次调用时，由于未缓存凭据信息，系统根据配置获取凭据信息。获取到凭据后，凭据信息被保存在缓存中。
第二次调用所使用的凭据信息与第一次相同，表明第二次调用是从缓存中提取的凭据信息。
第三次调用时，由于凭据的过期时间（RoleSessionExpiration）被设置为3600秒，而第三次调用发生在第一次调用之后的4200秒，此时缓存中的凭据已过期。因此，SDK依据自动刷新机制重新获取了新的凭据信息，并将新获取的凭据信息再次保存于缓存中。
第四次调用所使用的凭据信息与第三次重新获取的凭据信息一致，这表明缓存中的凭据在过期后已被更新为新的凭据。
关注阿里云公众号或下载阿里云APP，关注云资讯，随时随地运维管控云服务