管理服务专属凭证

操作场景

服务专属凭证是为特定华为云服务设计的专用身份验证机制。与标准华为云身份凭证相比，服务专属凭证提供了更简化的身份验证方式，并针对各个华为云服务的身份验证要求量身定制。与可跨多个华为云服务使用的访问密钥、临时安全凭证不同，服务专属凭证仅用于创建它们的服务，这样可以通过限制凭证的使用范围来增强安全性。

服务专属凭证是一种与特定服务关联的专用API密钥，目前只有AI智能体基础设施（AgentSphere）服务支持。服务专属凭证只能使用云服务的控制台进行创建，IAM的控制台只能进行服务专属凭证的查询、修改、删除操作。服务专属凭证是绑定在IAM用户上的，每个IAM用户针对每个受支持的服务最多可创建两套服务专属凭证，以便允许您在不中断应用程序的情况下轮换凭证。

原理说明

服务专属凭证所拥有的权限与其关联的IAM用户权限相同，IAM用户可以通过加入用户组或者直接授予身份策略的方式获取权限，详情请参见给IAM用户授权。

服务专属凭证适用于与第三方库、SDK、工具或应用程序的兼容性场景，这些工具与华为云身份凭证、SDK或OpenAPI原生不兼容，此类使用场景包括从自托管基础设施或其他提供商托管的服务迁移到华为云服务。如果您是从零开始使用华为云，那么我们建议您在任何可能的情况下均使用临时安全凭证，然后通过华为云SDK访问云服务资源。

支持创建服务专属凭证的云服务

目前只有AI智能体基础设施（AgentSphere）服务支持创建服务专属凭证。

约束与限制

每个用户针对每个受支持的服务最多可拥有两套服务专属凭证。

新增服务专属凭证并下载

服务专属凭证只能在云服务控制台进行创建，IAM的控制台不提供服务专属凭证的创建功能。

启用、停用服务专属凭证

• 启用、停用服务专属凭证需要的权限
  • 账号根用户: 根用户拥有完全访问控制权限，无需额外权限配置。
  • IAM用户： IAM用户需要管理员手动附加权限，例如可以为IAM用户附加以下策略实现为自己启用、停用服务专属凭证。

    {
        "Version": "5.0",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "iam:serviceSpecificCredentials:updateV5"
                ],
                "Resource": [
                    "iam:*:*:user:{user-name}"
                ]
            },
            {
                "Effect": "Allow",
                "Action": [
                    "iam:serviceSpecificCredentials:listV5"
                ]
            }
        ]
    }

• 新创建的服务专属凭证默认为启用状态，如需停用该服务专属凭证，步骤如下：

删除服务专属凭证

服务专属凭证删除后无法恢复，请谨慎操作。建议先停用服务专属凭证，确认停用该凭证无业务影响后再执行删除操作。

• 删除服务专属凭证需要的权限
  • 账号根用户：根用户拥有完全访问控制权限，无需额外权限配置。
  • IAM用户：IAM用户需要管理员手动附加权限, 例如可以为IAM用户附加以下策略实现为自己删除服务专属凭证。

    {
        "Version": "5.0",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "iam:serviceSpecificCredentials:deleteV5"
                ],
                "Resource": [
                    "iam:*:*:user:{user-name}"
                ]
            },
            {
                "Effect": "Allow",
                "Action": [
                    "iam:serviceSpecificCredentials:listV5"
                ]
            }
        ]
    }

    

    请您根据实际情况更新策略中user-name部分。

• 操作步骤

1. 管理员在IAM用户列表中，单击右侧的“安全设置”。
   图1 管理IAM用户服务专属凭证
   

2. 在“服务专属凭证”区域，单击对应服务专属凭证“操作”列的“停用”。
   图2 停用服务专属凭证
   

3. 在弹出的对话框中单击“确定”后，单击“操作”列的“删除”。
   

   如果服务专属凭证已过期，可以直接进行删除操作。

4. 确认删除该凭证无业务影响后，在弹窗中输入“DELETE”后，单击“确定”。

轮转服务专属凭证

本小节介绍如何在不中断应用程序的情况下轮转IAM用户的服务专属凭证。

为了账号安全性，建议管理员定期给用户轮转服务专属凭证。

1. 使用云服务控制台新增服务专属凭证，将新的服务专属凭证提供给IAM用户。
2. 使用新的服务专属凭证更新所有的应用程序和工具等。
3. 将旧的服务专属凭证进行停用。
4. 如发现某个应用程序和工具无法正常运作，请立即重新启用旧的服务专属凭证。重复步骤2~步骤4将旧的服务专属凭证完全进行替换。
5. 使用新的服务专属凭证运作一段时间，确认旧的服务专属凭证不再使用后，可以将旧的服务专属凭证进行删除。