vip云初次接触阿里云账号的用户，经常被几个相似的词弄糊涂：登录密码、AccessKey、STS Token，都和“身份”有关，到底有什么区别？vip云把这三类凭据放在一起解释，理解了它们各自的定位，才能在实际工作中选对凭据、管好风险。
登录密码：给人用的凭据
登录密码用于人员通过浏览器登录控制台。主账号和 RAM 用户都可以设置登录密码，通常还会配合 MFA 做二次验证。它的特点是由人记忆或保存，适合交互式操作，不应该写进程序或脚本。
AccessKey：给程序用的长期凭据
AccessKey 由 AccessKey ID 和 AccessKey Secret 组成，用于程序通过 API、SDK 或命令行工具访问云资源。它没有自动过期时间，创建后一直有效，直到被禁用或删除。正因为长期有效，一旦泄露影响很大，所以需要定期轮换，并且只授予程序所需的最小权限。
配图为流程示意，非控制台截图或交易凭据。
STS 临时凭证：有期限的授权
STS（安全令牌服务）通过扮演 RAM 角色的方式颁发临时凭证，包括临时的 AccessKey ID、AccessKey Secret 和安全令牌。临时凭证有明确的过期时间，到期自动失效。它适合跨账号访问、给移动端或前端临时授权、以及 ECS 实例通过实例角色获取凭证等场景。
| 凭据类型 | 使用对象 | 有效期 | 典型场景 |
|---|---|---|---|
| 登录密码 | 人员 | 长期，可设置过期策略 | 控制台登录 |
| AccessKey | 程序 | 长期，直到禁用或删除 | 服务器上的脚本与应用 |
| STS 临时凭证 | 程序或临时访问者 | 有限期，到期失效 | 跨账号访问、前端直传 |
怎样选择合适的凭据
人员操作用登录密码加 MFA；运行在云上的程序优先用实例角色获取临时凭证；云外的程序确需长期凭据时才使用 AccessKey，并做好轮换；需要短期授权给第三方或前端时用 STS。这个顺序背后的逻辑是：凭据有效期越短、权限越小，泄露后的影响就越可控。
配图为流程示意，非控制台截图或交易凭据。
示例：一次凭据梳理
某内容平台在梳理时发现，同一个 RAM 用户既开启了控制台登录，又创建了两个 AccessKey 给不同程序使用。他们把人员和程序拆分成不同的 RAM 用户，程序用户只保留编程访问，云上程序改为实例角色，凭据的用途和责任从此一目了然。
STS 临时凭证的有效期能设多长？
有效期在调用 AssumeRole 时指定，取值范围受角色的最大会话时间限制，具体以官方 API 文档为准。
修改登录密码会影响 AccessKey 吗？
不会。登录密码和 AccessKey 是两套相互独立的凭据，修改其中一个不会让另一个失效。如果怀疑账号整体存在风险，需要分别处理两者。
延伸阅读与办理
可继续阅读阿里云账号不再使用想注销，资源、余额与订单要先清点什么？。需要办理时，先查看阿里云账号服务说明，再通过vip云咨询入口说明用途与待核对事项。
官方资料
阿里云：RAM 用户概述；阿里云：STS AssumeRole 接口；阿里云：轮换 RAM 用户的 AccessKey。资料核对日期：2026-11-03。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
