在使用云手机提供的客户端服务前，必须通过鉴权流程。为了最大程度地保障密钥的安全，我们建议您通过客户端动态请求服务端发放临时 AK/SK，用以生成一个仅短时间内有效的一次性 Token 来完成鉴权，而不是将长期的 AK/SK 存储在客户端。通过这种方式获取到的临时凭证仅在有限的时间内有效，即使被非法获取，也会很快失效，极大降低了密钥泄露的风险。本文介绍如何通过安全令牌服务（STS）换取临时鉴权凭证。 # 步骤 ## 1. 进入控制台使用已有的火山引擎账号登录[控制台](https://console.volcengine.com/)。 ## 2. 进入访问控制点击右上角 `用户名` ，选择 `访问控制`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ae2c025146dbb70be2ab4a21c16275ba.png) ## 3. 新建角色并添加权限 ### 3.1 新建角色在左侧导航栏中选择`身份管理`\-`角色` ，点击 `新建角色`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_775fe96764ab86abcc94df8368c7fb23.png) ### 3.2 选择信任身份信任身份类型选择 `账号` ，身份选择 `当前账号` ，点击下一步。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_c51bce0fe74721c0d75a98272ec85cb8.png) ### 3.3 配置角色信息填写 `角色名` 和其他信息，点击下一步。 ### 3.4 添加权限搜索并添加 `STSAssumeRoleAccess` 和 `ACEPFullAccess` 策略，点击提交。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_c7e1f1aca6d735b8ad7caf46aa46fcf5.png) ## 4. 新建子账户并添加权限 ### 4.1 新建子账户在左侧导航栏选择 `身份管理`\-`用户` ，点击 `新建用户`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_61283d0897f17563d2e1ce2b7831bb03.png) 点击 `通过用户名创建`，输入 `用户名` 并点击下一步。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_5fdbe0bfa180df231b4c8a00a75bc741.png) ### 4.2 为新建的子账户赋权限搜索并添加 `STSAssumeRoleAccess` 和 `ACEPFullAccess` 权限，点击下一步进行信息确认，确认无误后点击提交完成子账户创建。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_b933e987e35d1aee0c0af8f0db9b2e47.png) ### 4.3 为新建的子账户新建访问密钥选择刚创建的用户进入`用户详情`，点击 `密钥`\-`新建密钥` ，获取到子账户 AK、SK。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_30bd76b6a5e4a21343882a077fb9737a.png) ## 5. 获取临时鉴权密钥 ### 测试环境测试环境下，你可以使用子账户的 AK、SK，在控制台生成临时鉴权密钥。在控制台左侧导航栏点击`新手入门`，选择存储方案后点击`生成临时鉴权密钥`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_a824b1a4452ecefd0c5b8c7140b3ec3c.png) ### 正式环境正式环境下，推荐您使用子账户的 AK、SK，通过安全令牌服务（STS）来换取临时鉴权密钥，详情参见 [STS 接口说明](https://www.volcengine.com/docs/6257/86374)。 #### 指定资源权限范围 STS 接口提供了参数 `Policy` 用于进一步限制临时密钥的权限，基于权限最小化原则，推荐您设置 `Policy` 参数，限制临时密钥可以访问的云手机资源范围。以下提供了 `Policy` 示例值： ```JSON { "Statement": [ { "Effect": "Allow", // 声明当前权限效果为允许 "Action": [ // 需要限制的Action "ACEP:ListPod", "ACEP:DetailPod", "ACEP:PodStart" ], "Resource": [ "trn:ACEP::20000****:product_id/198670449019506****", // 需要限制的业务资源 "trn:ACEP::20000****:product_id/679850906414910****", "trn:ACEP::20000****:pod_id/756989046484640****", // 需要限制的实例资源 "trn:ACEP::20000****:pod_id/590849764404646****", "trn:ACEP::20000****:pod_id/696445848236401****", "trn:ACEP::21000****:user_id/14235****", // 需要限制的用户 ID，暂仅使用 start 接口中的 PodStart 时生效 "trn:ACEP::21000****:user_id/14345****", "trn:ACEP::21000****:user_id/11235****" ] } ] } ``` 参数说明： * **Action** 用于指定服务及操作，格式为 `服务ID:接口Action`，支持传入多个。例如上述示例值表示临时密钥可以调用云手机（ACEP）的 ListPod、DetailPod 接口。

注意

由于 SDK 中的接口实际会调用云手机 OpenAPI 进行对应操作（例如 SDK 中的 start 接口会调用 PodStart 启动实例）。因此，您需要在 Action 中为各客户端 SDK 使用到的 OpenAPI 添加允许（Allow）权限。

若您换取的临时鉴权密钥（STS）供客户端 SDK 使用，请确保您为各客户端 SDK 使用到的 OpenAPI（如下）均添加了允许（Allow）权限。

Android SDK：GetMediaToken、PodStart

Web H5 SDK：StartScreenShot、MonitorPod、PodStart、BatchPodStart、StartPodEventSync、UpdatePodEventSync、GetMediaToken、ListPod、GetTaskInfo

Windows SDK：PodStart、BatchPodStart、StartPodEventSync、UpdatePodEventSync、GetMediaToken、ListPod、GetTaskInfo

* **Resource** 参数用于指定业务、实例资源、用户 ID，格式如下，支持传入多个。 * 指定业务：`trn:服务ID::火山账号ID:product_id/您的云手机业务ID` * 指定实例：`trn:服务ID::火山账号ID:pod_id/您的云手机实例ID` * 指定用户：`trn:服务ID::火山账号ID:user_id/用户ID` 例如上述示例值表示临时密钥可以访问云手机（ACEP）内 ID 为 `198670449019506****` 、`679850906414910****`的业务、ID 为 `756989046484640****` 、`590849764404646****`、`696445848236401****`的实例、用户 ID 为 `14235****`、`14345****`、`11235****` 的实例。

注意

仅当 Action 中指定的接口包含实例相关参数（如 PodId、PodIdlist）时，Resource 中指定的实例资源才生效。

仅当 Action 中指定的接口包含 PodStart 时，Resource 中指定的用户 ID 才生效，且仅对该接口生效。

#### SDK 调用 STS 接口示例代码基于火山引擎 SDK 调用 STS 接口获取临时密钥的示例代码如下： * [Java 示例代码](https://github.com/volcengine/volc-sdk-java/blob/main/example/src/main/java/com/volcengine/example/sts/AssumeRoleDemo.java) * [Python 示例代码](https://github.com/volcengine/volc-sdk-python/blob/main/volcengine/example/sts/example_assume_role.py)