华为云 获取token_获取Token

华为云获取Token，核心就是调用统一身份认证服务的 /v3/auth/tokens 接口，把返回的 X-Subject-Token 响应头取出来，这就是你后续操作所有华为云API的“临时通行证”，别把它想复杂了，本质上就是一次HTTP POST请求,只不过请求体里要放你的账号密码或凭证信息。

华为云获取token的认证接口是什么

先用大白话拆解一下这个接口，它的完整路径是 POST https://iam.myhuaweicloud.com/v3/auth/tokens，注意 iam.myhuaweicloud.com 是默认的IAM网关地址，如果你用的是华为云国际站，需要换成 iam.ap-southeast-1.myhuaweicloud.com 这类带区域的地址。

调用逻辑很简单：你发一个POST请求，请求体是一段JSON，里面写清楚“我是谁”和“我要访问什么范围”，服务器验证通过后，在响应头里直接甩给你一个Token，这个Token不是放在响应体里的，是在响应头的 X-Subject-Token 字段里，这是99%新手第一次最容易踩坑的地方，很多人盯着响应体找Token，结果翻了半天找不到,实际上它就在HTTP响应头里。

调用前需要准备三样东西：

• 账号或IAM用户的用户名、密码
• 账号的 domain_name（就是你的华为云账号名,不是邮箱也不是手机号）
• 项目ID或区域名（cn-north-4）

如果你用的是IAM子账号，还有一个 domain_name 概念要搞清楚，子账号属于某个主账号，所以请求体里既要写子账号的 name 和 password，还要带上主账号的 domain_name,否则系统不知道你这个子账号归谁管。

华为云获取token的curl命令实例

直接上一个能跑的curl命令，你把下面的内容替换成自己的信息就能用，这是获取永久Token的姿势，所谓永久Token，是指有效期默认 24小时 的Token,过期后需要重新获取。

curl -X POST https://iam.myhuaweicloud.com/v3/auth/tokens -H "Content-Type: application/json" -d '{ "auth": { "identity": { "methods": ["password"], "password": { "us

er": { "name": "你的用户名", "password": "你的密码", "domain": { "name": "你的账号名" } } } }, "scope": { "project": { "name": "cn-north-4" } } } }'

执行完看响应头，用 -i 参数把响应头也打印出来，或者用 -D - 把header输出到终端,你会看到类似这样的内容：

把这个字符串复制出来，就是你的Token，后续调用其他API时，在请求头里加 X-Auth-Token: 你的Token值 就行。

注意：curl命令里 是换行符，Windows的cmd和PowerShell写法略有不同，在cmd里用 ^ 代替 ，在PowerShell里用反引号 `，如果你懒得折腾,直接用Postman更省事。

如何在Postman里操作获取Token

Postman界面操作路径如下：

1. 新建一个POST请求
2. URL填 https://iam.myhuaweicloud.com/v3/auth/tokens
3. Headers标签页加一个键值对：Content-Type 值为 application/json
4. Body标签页选 raw 格式，右侧下拉框选 JSON
5. 把上面那段JSON粘贴进去
6. 点击Send发送
7. 在响应区上方切换到 Headers 标签页，往下滑找到 X-Subject-Token，复制它的值

为什么要强调Headers标签页？ 因为Postman默认展示Body，你如果不主动点Headers，永远看不到Token,这个细节在百度上搜这个问题的人相当一部分都是卡在这里。

临时Token和永久Token的区别

前面说的用户名密码获取的是永久Token（有效期24小时），如果你在写程序，更推荐用临时Token，特别是涉及企业多账号管理时，临时Token需要额外调用安全令牌服务（STS）拿到 securitytoken，然后把它加到请求体的 identity 里。

行业共识认为，生产环境里用临时Token更安全，毕竟密码反复出现在请求体里不是什么好事，如果你用AK/SK，可以先调用 /v3.0/OS-CREDENTIAL/securitytokens 接口换取临时Token,之后再用这个Token去调业务API。

华为云获取token的scope参数怎么选

scope 是决定Token权限范围的关键参数，选错了后面调用API会报403或404,这个参数有两种选法：

• project级别：指定项目（region），Token只对该项目下的资源有效，比如你在北京四区域建了一台云服务器，那scope就写 {"project": {"name": "cn-north-4"}}。
• domain级别：不指定具体项目，Token拥有账号级权限，可以操作所有区域的所有资源，写法是 {"domain": {"name": "你的账号名"}}。

什么时候用domain？ 如果你要调用IAM接口创建新的子账号、修改权限策略，或者一次性管理多个区域的资源，就用domain，日常调用ECS、VPC这类资源接口,用project就行。

注意：scope不写会怎样？接口会报错，提示缺少scope字段，但如果你用AK/SK换取临时Token，scope是选填的,不写默认是domain级别。

华为云获取token的常见报错与排查

报错401 Unauthorized：这是最多人遇到的，排查顺序依次是：密码是否多打了一个空格？用户名是IAM子账号还是主账号？domain.name是不是填了邮箱而没填账号名？这三个问题覆盖了绝大多数401场景。

报错403 Forbidden：Token拿到了，但访问业务API时被拒，原因大概率是scope选小了，比如你拿project级别的Token去调另一个区域的服务，或者去调IAM的管理接口，把scope改成domain,或者换取对应区域的Token即可。

报错400 Bad Request：请求体JSON格式有问题，比如引号是中文的、缺少逗号、字段名拼写错误，建议把JSON丢到在线校验工具里过一遍，最常见的就是 mehtods 把 methods 写错了。

报错连接超时：公司网络防火墙拦截了 iam.myhuaweicloud.com 的443端口，两个解决思路：一是让网络管理员放行该域名，二是用华为云内网Endpoint，如果你的服务器和IAM服务在同一区域，把URL换成 iam.myhuaweicloud.com 的内网IP段，或者直接用 https://iam.cn-north-4.myhuaweicloud.com 这种带区域的Endpoint。

华为云获取token的常见问题

华为云获取token的接口有没有速率限制？

有，IAM接口默认每秒最多处理 20次 认证请求，超过会返回 APIGW.0308 错误，程序里务必加缓存，别每次API调用前都重新获取Token，重用Token直到它过期就行，Token有效期24小时，你完全可以把它存在内存或Redis里，设置23小时过期,快到点了再刷新。

华为云获取token后调用API还报鉴权失败？

Token拿对了，但请求头写错了，调用业务API时，请求头参数名是 X-Auth-Token，不是 Authorization，也不是 token，大小写敏感，X-Auth-Token 这个拼写必须一字不差，另外确认Token没有过期，如果你的操作跨了午夜，且Token是昨天获取的，那大概率是过期了,重新获取一次。

华为云token过期后会有什么影响？

Token一旦过期，所有携带这个Token的API请求都会返回401，程序里要做好异常捕获，遇到401就自动重新获取Token并重试当前请求，这个机制在云厂商的SDK里是内置的，如果是自己用curl写脚本，建议做一个简单的Token刷新函数，业内专家指出，自动化刷新机制是避免生产故障的关键设计,切莫图省事写死Token。

说到底，华为云获取Token就是一次标准的HTTP认证流程，理解请求体里的 identity 和 scope 两个字段，你就掌握了90%的用法。 剩下10%的坑基本都在响应头、区域选择、Token缓存这些细节上，把上面这些步骤跑通一遍,比看十篇理论文章都管用。