# DLI使用委托获取访问凭证
在使用DLI执行大数据处理、跨服务数据交互查询时，鉴权认证是保障服务访问合法性、数据安全性的核心前置环节。如果把 AK/SK、用户名/密码直接写在作业代码或参数配置中，会存在明文泄露的安全风险。
随着云服务架构的升级与安全要求的不断提升，DLI围绕多样化的服务访问场景与差异化的鉴权协议兼容需求，提出了两种核心鉴权方案：
- **（推荐）DLI 委托+获取临时凭证方案**
  临时安全凭证包括临时AK/SK和SecurityToken，以"动态生成、短期有效、自动失效、无需手动保管"为核心特性，DLI基于委托自动获取临时凭证并完成服务访问，凭证到期后自动失效，从根源上降低了密钥泄露的风险，同时省去了维护密钥的繁琐成本，成为批量自动化处理、高安全等级业务的优选方案。
  相关操作指导：
  - [获取Flink作业委托临时凭证用于访问其他云服务](https://support.huaweicloud.com/usermanual-dli/dli_09_0212.html)
  
  - [获取Spark作业委托临时凭证用于访问其他云服务](https://support.huaweicloud.com/usermanual-dli/dli_09_0216.html)
   
  了解更多[临时安全凭证](https://support.huaweicloud.com/iam_faq/iam_01_0620.html)。
  
- **DLI委托+获取DEW临时凭证方案+DEW获取永久AK/SK方案**
  DLI委托+获取DEW临时凭证方案+DEW获取永久AK/SK方案，适用于仅支持细粒度授权（Version=1.1）鉴权协议的服务，以及对凭证稳定性要求极高、无需频繁刷新的业务需求，提供了可靠的鉴权支撑。
  该方案通过DLI委托+临时凭证获取访问DEW服务的权限，再通过DEW获取永久AK/SK，最终实现对其他云服务的安全访问。
  相关操作指导：
  - [Flink Opensource SQL使用DEW管理访问凭据](https://support.huaweicloud.com/usermanual-dli/dli_09_0210.html)
  
  - [Flink Jar 使用DEW获取访问凭证读写OBS](https://support.huaweicloud.com/usermanual-dli/dli_09_0211.html)
  
  - [Spark Jar 使用DEW获取访问凭证读写OBS](https://support.huaweicloud.com/usermanual-dli/dli_09_0215.html)
   
#### 适用场景
- 主要用于解决硬编码凭证安全问题。
- 避免在作业代码中直接写入数据源账号密码等敏感信息。
- 实现凭证的动态获取和定期轮换。
 
#### 约束与限制
仅Spark 3.3.1及以上版本、Flink 1.15及以上版本的跨源访问场景推荐使用DEW来存储数据源的认证信息。
SQL作业、Flink 1.12版本的跨源访问场景，使用DLI提供的"跨源认证"管理数据源的访问凭证，具体操作请参考[跨源认证概述](https://support.huaweicloud.com/usermanual-dli/dli_01_0561.html)。
#### 不同类型作业使用DEW管理数据源访问凭证的方法
表1不同作业类型使用DEW的操作指导 
| 类型                     | 操作指导                                                                                               | 说明                                                                                                                                                                      |
|:---|:---|:---|
| Flink OpenSource SQL作业 | [Flink Opensource SQL使用DEW管理访问凭据](https://support.huaweicloud.com/usermanual-dli/dli_09_0210.html) | 介绍Flink Opensource SQL场景使用DEW管理和访问凭据的操作指导，及在Connector中设置账号、密码等属性的操作方法。                                                                                                  |
| Flink Jar作业            | [Flink Jar 使用DEW获取访问凭证读写OBS](https://support.huaweicloud.com/usermanual-dli/dli_09_0211.html)      | 以访问OBS的AKSK为例介绍Flink Jar使用DEW获取访问凭证读写OBS的操作指导。                                                                                                                          |
| Flink Jar作业            | [用户获取Flink作业委托临时凭证](https://support.huaweicloud.com/usermanual-dli/dli_09_0212.html)               | DLI提供了一个通用接口，可用于获取用户在启动Flink作业时设置的委托的临时凭证。该接口将获取到的该作业委托的临时凭证封装到com.huaweicloud.sdk.core.auth.BasicCredentials类中。 本操作介绍获取Flink作业委托临时凭证的操作方法。 |
| Spark Jar作业            | [Spark Jar 使用DEW获取访问凭证读写OBS](https://support.huaweicloud.com/usermanual-dli/dli_09_0215.html)      | 以访问OBS的AKSK为例介绍Spark Jar使用DEW获取访问凭证读写OBS的操作指导。                                                                                                                          |
| Spark Jar作业            | [用户获取Spark作业委托临时凭证](https://support.huaweicloud.com/usermanual-dli/dli_09_0216.html)               | 本操作介绍获取Spark Jar作业委托临时凭证的操作方法。                                                                                                                                          |
   
#### 了解更多：什么是临时安全凭证
临时安全凭证是具备临时访问权限的身份凭证，包括临时AK/SK和SecurityToken，临时AK/SK和SecurityToken必须同时使用。
了解更多[临时安全凭证](https://support.huaweicloud.com/iam_faq/iam_01_0620.html)。