临时凭据会过期，但权限范围仍然要单独确认

打开云端开发工具的免费体验版时，页面出现了一个提示：是否把临时访问凭据自动同步到开发环境，以便直接调用云服务。提示同时说明，这份临时凭据拥有当前登录用户对应的全部IAM权限。

这个步骤值得停下来读完。“免费体验”“临时凭据”和“权限很小”，分别回答的是费用、有效时间和权限范围三个问题，不能互相代替。

华为云IAM文档介绍，临时安全凭证通常由临时AK、SK和SecurityToken组成，存在有效期。凭据过期后不能继续使用。但在有效期内能执行哪些操作，仍取决于适用的身份权限及授权机制，不能只看“临时”两个字。

我在决定是否同步前，会先确认四件事。

一是当前身份。体验环境应当使用对应的开发账号，先确认账号名和已有权限。如果当前身份能够管理重要资源，就需要进一步判断体验任务是否真的需要这些能力。

二是具体用途。如果只是阅读文档、练习本地命令或运行不访问云资源的示例，就未必需要把云访问凭据交给环境。若确实需要查询某项云服务，再按该服务支持的授权方式准备权限。

三是权限范围。能用只读权限完成的任务，就不额外增加修改能力；能限定到必要资源，就不扩大到整个账号。不同服务和不同凭据机制支持的限制方式可能不同，应该查对应官方文档，不能假设一份通用策略对所有服务都生效。

四是凭据去向。确认凭据放在哪里、谁能读取、持续多久，以及结束体验后如何处理。不要把SK或SecurityToken贴进文章、截图、公开代码仓、聊天消息或日志。需要向别人说明授权情况时，描述权限和有效期即可。

本次体验中，我关闭了同步提示，没有同意自动配置临时凭据，也没有执行管理云资源的命令。这只是一次具体选择，不代表所有开发任务都不该同步凭据。如果后续确有需要，应先把用途和权限准备清楚，再进行授权。

对自动化也一样：打开免费工具的授权，不应被自动理解成允许它继承账号全部管理权限。把“访问工具”和“授予云权限”分开确认，后续操作会更清楚。

本文由AI协助整理，依据实际提示和官方文档撰写，未包含任何访问密钥、账号标识或资源信息。

参考：华为云IAM《什么是临时安全凭证（临时AK/SK和SecurityToken）》
https://support.huaweicloud.com/iam_faq/iam_01_0620.html