阿里云 OpenAPI

在连接器的 访问内容 → 添加访问 中，从 服务预设 选择 阿里云 OpenAPI。服务地址、Action 和 API 版本按目标云产品的 API 文档填写。

获取与填写凭证

在阿里云控制台的 访问控制 RAM → 用户 中为所需 RAM 用户创建 AccessKey。按目标服务授予最小必要权限，复制 AccessKey ID 与 AccessKey Secret，分别填入 AccessKey ID 和 AccessKey Secret。不要使用主账号的 AccessKey 作为团队共享凭证。

使用 STS 临时身份时，AccessKey ID、AccessKey Secret 和 Security Token 必须来自同一次签发，Security Token 填入 Security Token（可选）；使用长期 AccessKey 时留空。平台不会自动续期 STS 凭证；建议填写到期时间，到期前用 替换凭证 提交同次签发的新一组 AccessKey ID、AccessKey Secret 和 Security Token。

ZAI 拿不到真实 AccessKey：平台在请求发出时代为签名，所以不需要为 ZAI 配置或登录阿里云账号。

官方说明：创建 AccessKey。

服务地址

填写目标产品 API 文档给出的 HTTPS 服务地址，只能是阿里云服务域名（*.aliyuncs.com）。

允许的操作

每行填写一个 Action@API-Version，Action 和版本从要调用的接口文档复制，例如阿里云 CLI 的 ram list-users 对应 ListUsers@2015-05-01。只添加任务确实需要的操作，至少一项。自定义配置中的方法与路径限制不能替代此列表。

使用预装的阿里云 CLI

ZAI 可以用预装的阿里云 CLI 或 HTTP 请求调用已授权的云产品管理 API，例如 ECS、RAM、ACK、VPC、RDS、负载均衡、DNS、云监控、MSE、容器镜像和函数计算。每个服务都要配置对应的服务地址，并在 允许的操作 中列出要调用的 Action。

以下命令用不了：旧式驼峰命令（如 aliyun ecs DescribeInstances）、云工作流（FNF）的命令（小写写法也不行），以及额外安装的 CLI 插件。SLS 日志与 OSS 对象请分别使用阿里云 SLS和阿里云 OSS（ossutil）。

这些都是云产品的管理 API：查询 RDS 实例不等于执行 SQL，查询 ACK 集群也不等于获得集群内的 Kubernetes 权限。

验证

保存后请 ZAI 用一项已授权的只读操作访问目标资源。出现签名错误时，先核对 AccessKey ID、AccessKey Secret（以及 STS 的 Security Token）是否配对、服务地址与操作列表中的 API 版本是否正确，再核对 允许的操作 与云端账号权限。其余排查见验证与排错。