阿里云代开后不要给主账号创建 AccessKey：日常调用改用 RAM 用户密钥，已有密钥要轮转或禁用

阿里云代开刚交付时，改密码、换邮箱、开 MFA 之后，有人会立刻为主账号创建一对 AccessKey，方便 CLI、SDK 或脚本调用。这一步恰恰是官方明确不推荐的。主账号密钥默认拥有账号下全部权限，一旦泄露，影响的是整套资源，而不是某一个应用。

先说明身份：云大仙是第三方渠道服务商，不是阿里云官方。下面的类型划分、控制台路径和轮转规则都引自阿里云国际站（alibabacloud.com）官方文档，链接放在文末；菜单名以你账号里实际看到的为准。价格和交付范围请看 阿里云代开 页面当前说明，本文不列出具体数字。

先分清：主账号密钥和 RAM 用户密钥不是一类东西

官方把 AccessKey 定义成长效的编程访问凭证，由 AccessKey ID 和 AccessKey secret 组成，用来调用 API、CLI、SDK 或 Terraform。密钥只在创建时显示一次，之后无法再查看，所以保存方式要比普通密码更小心。

按归属，官方分成两类：

• 阿里云主账号（Alibaba Cloud account）AccessKey：官方标注为不推荐。它属于主账号，默认对账号下所有资源拥有完整权限，泄露后的风险极高。官方的原话是强烈建议不要为主账号创建或使用 AccessKey。
• RAM 用户 AccessKey：官方推荐的用法。它继承该 RAM 用户已被授予的权限，可以按最小权限管理。官方还建议：每个独立应用单独使用一个 RAM 用户和一对 AccessKey，以缩小泄露后的影响面。

能用临时凭证（STS Token）的场景，官方更建议优先用 STS，而不是长期 AccessKey。永久密钥在你手动删除之前一直有效，泄露后风险会持续存在；STS Token 会在你设定的会话时长后过期，被盗用的窗口更短。ECS、容器或函数计算等云上负载，还可以用实例角色、容器角色这类免 AccessKey 的方式拿到临时凭证。

不管号是代开来的，还是有人习惯称为阿里云账号购买拿到的，这条规则都一样：主账号用来做账单、权限和紧急操作，日常调用不要挂主账号密钥。

交付后先检查，不要再给主账号新建密钥

打开控制台，用鼠标悬停右上角头像，进入 AccessKey 页面，看主账号名下有没有已创建的密钥。有就先记下 AccessKey ID（不要把 secret 发到聊天工具里），再决定是禁用还是轮转；没有，就不要去点创建。

官方把「为主账号创建 AccessKey」单独写成不推荐流程，控制台会多次弹出风险提示。路径大致是：用主账号登录控制台，悬停右上角头像后点 AccessKey，在「不建议使用主账号 AccessKey」的对话框里阅读风险。即便勾选「我已知悉使用主账号 AccessKey 的安全风险」也能继续，官方仍然建议先评估能否改用 RAM 用户密钥。主账号同样最多只能有两对 AccessKey，一对日常使用、一对留给轮转，这个上限并不能让主账号密钥变得更安全。

如果业务上必须用长期密钥，按官方建议替换成权限合适的 RAM 用户 AccessKey，而不是继续用主账号那一对。

日常调用：给 RAM 用户创建 AccessKey

还没有 RAM 用户时，先按最小权限建好用户再创建密钥。更完整的子用户和授权步骤，可以看这篇 阿里云代开后别天天用主账号登录。这里只写创建密钥这一段，依据是官方「创建 AccessKey」文档，建议由具备 AliyunRAMFullAccess 的 RAM 管理员来操作：

• 打开 RAM 控制台，左侧选 Identities（身份）> Users（用户）。
• 找到目标 RAM 用户，点用户名进入详情。
• 在 Credential（认证）页的 AccessKey 区域，点 Create AccessKey。
• 阅读使用场景和建议。如果确定需要长期密钥，勾选「我确认有必要创建 AccessKey」，再继续并完成安全验证。
• 在创建成功的对话框里保存 AccessKey ID 和 AccessKey secret，然后点确定。密钥只显示这一次，关掉就找不回来。

每个 RAM 用户最多两对 AccessKey，官方的用法是一把日常使用，另一把留给轮转。创建时还可以配置网络访问控制策略（network ACL），把该密钥的 API 请求限制在可信源 IP；也可以设置最长闲置时间，官方建议闲置 90 天后自动禁用。

官方同时提醒：不要在生产环境里打开「允许用户自行管理 AccessKey」这种全局开关，否则所有 RAM 用户都能给自己创建、禁用和删除密钥。若确有需要，应改用自定义策略，把权限限制在该用户自己的身份上。

使用上还有几条官方反复强调的规则：一对 AccessKey 只给一个应用、一个环境用，开发、测试、生产不要共用；不要把密钥写进代码仓库或公开文档；能用密钥管理或 STS 的场景，不要明文硬编码；用操作审计（ActionTrail）盯密钥调用，发现异常及时处理。

已经在用的密钥：按 90 天周期轮转，闲置的要禁用

官方轮转文档写明：每个 RAM 用户最多两把 AccessKey；使用超过 90 天的密钥，应轮转以降低泄露风险。步骤是：

• 先创建第二把 AccessKey；
• 把所有应用和系统改成使用新密钥；
• 在 RAM 用户详情里查看原密钥的最后使用时间，确认它已经不再被调用，再禁用原密钥；
• 验证新密钥工作正常后，再删除原密钥；
• 如果有应用失败，立刻重新启用原密钥，回到替换步骤，直到切换成功再删除。

官方建议每隔 90 天或更短周期重复一次。最佳实践里还写：闲置密钥应及时禁用和回收，最长闲置时间应控制在 365 天以内，并推荐 90 天。主账号如果已经误创建了 AccessKey，处理思路相同：能停就停，必须过渡时先改到 RAM 用户密钥，再禁用主账号那一对，不要再新开第三把——主账号也只有两个名额。

常见问题

交付时会不会已经有主账号 AccessKey？

以你控制台里实际看到的为准。有就先处理，没有就不要创建。任何正规渠道都不应向你索要 AccessKey secret、登录密码或 MFA 验证码。

可以给主账号创建 AccessKey 吗？

控制台可以完成创建，但官方强烈不建议，并会多次提示风险。主账号密钥权限过大，不适合日常调用。

RAM 用户密钥泄露了怎么办？

先在控制台禁用这把密钥，阻断继续调用，再按轮转步骤改用新密钥，并检查操作审计里的异常请求。不要把 secret 发到群里或工单附件中。

一个 RAM 用户能有几把 AccessKey？

最多两对。官方设计就是一把在用、一把用来轮转，不要把两把同时给不同应用长期使用。

参考来源

• 阿里云：创建 AccessKey — https://www.alibabacloud.com/help/en/ram/user-guide/create-an-accesskey-pair
• 阿里云：轮转 RAM 用户的 AccessKey — https://www.alibabacloud.com/help/en/ram/user-guide/rotate-accesskey-pairs-of-ram-users
• 阿里云：身份与访问管理最佳实践 — https://www.alibabacloud.com/help/en/ram/product-overview/best-practices-for-identity-and-access-control

以上内容核对于 2026 年 11 月 14 日（北京时间）。官方规则和云大仙页面都可能调整，请以官方文档和 阿里云代开 页面为准。