dsh-aliyun-balance

配置凭据

1. 建一个 RAM 子账号

阿里云控制台 → RAM 访问控制 → 用户 → 创建用户。不要用主账号。

建议勾选「使用永久 AccessKey 访问」，不要勾「使用控制台访问」（不给它登录密码，权限更小）。

2. 只给只读权限

方式	做法
授权单个 Action	bss:DescribeAcccount（查余额，官方原文就是双 c）、bss:DescribeCoupons（查代金券）
或者直接挂系统策略	AliyunBSSReadOnlyAccess

插件只查余额与代金券这两类接口，不查其它任何阿里云接口。

面板里可以改 endpoint，但只允许 *.aliyuncs.com（含国际站，如 business.ap-southeast-1.aliyuncs.com）； 填成别的域名会被拒绝。所以插件的网络出口不会超出阿里云，但也不止固定的那一个主机。

3. 创建 AccessKey

为该子账号创建 AccessKey，拿到 AccessKey ID / Secret。

⚠️ Secret 只在创建时显示一次，关掉就再也看不到了（只能删了重建）。先复制出来再关窗口。

4. 填进 DSH

打开本插件的面板 → 凭据与设置 → 填入 AK / SK → 保存凭据（提交后输入框即清空）→ 测试连接 验证。

⚠️ 凭据是明文落盘的

插件把 AK/SK 写进 DSH 官方凭据服务，而 DSH 的本地凭据文件 ~/.dsh/.credentials.yaml 是明文 YAML（靠文件权限保护）。因此：

• 一定要用只读子账号的 AK，不要用主账号 AK
• 插件的设置接口永不回显密钥，只返回 hasAk / hasSk
• 插件只调用 business.aliyuncs.com 一个主机，只做查询，没有任何写操作

---