访问控制：扮演RAM角色

什么是RAM角色扮演

与RAM用户不同，您不能直接用RAM角色登录控制台。您需要先用RAM用户或SSO登录控制台后，再切换到目标RAM角色，这个过程称为RAM角色扮演。

角色扮演成功后，原身份所拥有的权限将暂时失去，转而获得被扮演的RAM角色所拥有的权限。被扮演的RAM角色可以与登录的RAM用户属于同一阿里云账号，也可以属于不同账号（跨账号角色扮演）。

工作原理

下面以RAM用户Alice尝试扮演RAM角色prod-role，并以角色身份访问OSS对象存储为例，解释角色扮演工作原理：

1. 请求扮演RAM角色：RAM用户Alice向阿里云STS服务请求扮演RAM角色prod-role的临时安全凭证（STS Token）。RAM会验证Alice的身份（例如AccessKey），是否具有扮演该角色的权限（sts:AssumeRole），以及prod-role的信任策略是否允许Alice扮演（Principal是否匹配Alice）。

2. 获取临时安全凭证：验证通过后，Alice获得由阿里云STS服务返回的STS Token。

3. 以角色身份访问云资源：Alice使用获取到的STS Token，以prod-role角色身份访问OSS对象存储等云资源。此时Alice的原有权限暂时失效，转而拥有prod-role角色的权限。最终资源访问权限由角色prod-role的权限策略（oss:*）决定。

角色会话的有效时间

角色会话是指实体身份（如RAM用户或其他可信实体）在成功扮演角色后，所建立的有时限的访问会话。角色会话的有效时间控制着您以该角色身份执行操作的可用时长。会话到期后，您需要重新通过扮演角色来获取新的会话。

如需了解如何设置角色最大会话时间和登录会话的过期时间，请参见设置RAM角色最大会话时间、管理RAM用户安全设置。

扮演RAM角色的操作方式

您可以根据实际场景选择合适的方式扮演RAM角色：

• 控制台切换身份：在控制台临时切换到RAM角色执行操作。

• API调用：程序或服务获取临时安全凭证（STS Token）访问阿里云资源。

• CLI命令：通过命令行工具以RAM角色身份执行操作。

跨账号角色扮演

跨账号角色扮演允许您以一个阿里云账号下的身份（RAM用户或RAM角色），扮演另一个阿里云账号下的RAM角色，从而访问该账号下的资源。

实现跨账号角色扮演需要满足以下条件：

• 目标角色需要信任源账号或源账号下的RAM用户、RAM角色（在目标角色的信任策略中通过Principal关键字定义）。

• 原身份具有 sts:AssumeRole 操作权限。

更多信息，请参见跨阿里云账号访问资源。

角色链

角色链指的是 RAM 身份（或角色SSO）成功扮演一个角色后，继续以这个角色的身份扮演其他角色的过程。

要使得角色A可以继续扮演角色B，角色A必须被授予sts:AssumeRole操作权限，且角色B必须信任角色A。

下面使用CLI演示如何使用角色链：

1. 按照上述使用CLI扮演RAM角色案例配置CLI并扮演角色admin-role（源角色）。

2. 为角色admin-role添加系统策略AliyunSTSAssumeRoleAccess。

3. 创建目标RAM角色，例如名称为target-role。修改目标角色的信任策略，在Principal关键字中指定身份为admin-role：

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<ACCOUNT_ID>:role/admin-role"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. 使用ChainableProfile模式来配置阿里云CLI。

   aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

5. 按照提示输入源配置（Source Profile）名，希望继续扮演的角色Arn等信息。

   Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
   Source Profile []: RamRoleArnProfile
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/target-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] zh: en
   Saving profile[ChainableProfile] ...Done.

6. 完成认证后，执行如下命令来查看当前调用者的身份信息。返回结果中将包含目标角色Arn。

   aliyun sts GetCallerIdentity

   您现在可以使用角色链中目标角色的身份执行CLI命令。

常见问题

相关文档

• 创建可信实体为阿里云账号的RAM角色

• 跨阿里云账号访问资源

• 移动应用使用临时安全令牌访问阿里云

• SAML角色SSO概览

• OIDC角色SSO概览

• RAM角色和STS Token常见问题