【云安全实战】彻底杜绝AK/SK泄露：基于ECS委托凭证（Agency）的无密钥解法

云端开发最致命的安全漏洞之一，就是将访问密钥（AK/SK）明文写在配置文件或代码中。一旦外泄，攻击者会利用自动化脚本瞬间拉起大量昂贵的 GPU 实例挖矿。最标准、最彻底的云原生安全解法是：全盘废弃静态凭证，利用 IAM 委托机制（Agency）让云服务器自己去获取有效期极短的临时 Token。

1. 创建 IAM 委托并绑定 ECS

在华为云统一身份认证服务（IAM）控制台，创建一个“云服务委托”。委托类型选择 ECS，并为其赋予相应的最小权限策略（例如，仅允许对特定 OBS 存储桶的只读权限 OBS ReadOnlyAccess）。 随后，在 ECS 实例的详情页面，将该委托直接绑定至目标服务器。此时，该 ECS 就拥有了合法的云端“身份”。

2. 通过元数据服务动态获取临时 STS 凭证

绑定委托后，运行在 ECS 上的应用代码不再需要读取本地配置中的 AK/SK。只需向云平台预留的本地链路（Link-local）元数据地址发送 HTTP 请求，即可实时获取包含 SecurityToken 的临时访问凭证：

# 在 ECS 终端内测试请求元数据 API 获取临时凭证（以华为云 OpenStack API 为例）
curl -X GET http://169.254.169.254/openstack/latest/securitykey

该接口会返回一段 JSON，包含临时的 access, secret, 和 securitytoken，且该凭证会在数小时内自动过期并由云平台后台自动刷新。

3. 使用云原生 SDK 实现自动化鉴权注入

在实际工程中，开发者甚至不需要手动去写 curl 逻辑。各大云厂商的官方 SDK 均原生支持环境凭证链（Credential Provider Chain）。只需在代码中声明使用“元数据/委托凭证”初始化客户端，SDK 会在底层自动完成 Token 的抓取与轮转。

# Python 示例：无需在代码中传入任何 AK/SK 变量
from obs import ObsClient

# 显式声明使用 ECS 委托(Agency)模式初始化 OBS 客户端
# SDK 会自动向 http://169.254.169.254 请求临时 Token 并维持其可用性
obs_client = ObsClient(
    security_providers=["ECS"], 
    server="obs.cn-north-4.myhuaweicloud.com"
)

# 直接进行业务调用
response = obs_client.listBuckets()
print("当前授权的桶列表：", response.body)

总结：

基于 ECS 委托的无密钥认证架构，是实现零信任网络（Zero Trust）的关键一步。通过将权限管理的生命周期完全交还给云平台底层的 IAM 服务，开发者不仅从繁重的密钥轮换与加密存储工作中解放出来，更从物理根源上彻底阻断了硬编码泄露导致的安全灾难。