IoT Platform admite la suscripción del lado del servidor entre cuentas mediante la autorización de roles de RAM. Al crear un rol de RAM y asignarlo a otra cuenta de Alibaba Cloud, permite que dicha cuenta y sus usuarios de RAM accedan a los recursos de suscripción del lado del servidor.
Contexto
Security Token Service (STS) proporciona credenciales temporales para acceder a los recursos de Alibaba Cloud. RAM admite dos tipos de identidad: usuario de RAM y rol de RAM.
Un rol de RAM es una identidad virtual a la que se pueden adjuntar directivas. Los roles de RAM no tienen contraseñas de inicio de sesión ni pares de AccessKey. Una entidad de confianza, como un usuario de RAM, un servicio de Alibaba Cloud o un proveedor de identidades (IdP), debe asumir el rol de RAM. Tras asumir un rol de RAM, la entidad de confianza obtiene un token de STS para acceder a los recursos autorizados para dicho rol.
Para obtener más información sobre las funciones y ventajas de STS, consulte What is STS?
Escenario
La empresa A usa su cuenta de Alibaba Cloud para activar IoT Platform y desea autorizar a la cuenta de Alibaba Cloud de la empresa B para que acceda a los recursos de suscripción del lado del servidor.
Solución
La empresa A debe autorizar a los empleados de la empresa B para que accedan a sus recursos de suscripción del lado del servidor en IoT Platform. En este tema, la cuenta A hace referencia a la cuenta de Alibaba Cloud de la empresa A, y la cuenta B a la de la empresa B. Para autorizar a la cuenta B a acceder a los recursos de la cuenta A, siga estos pasos:
-
Step 1: Create a RAM role and grant permissions to the RAM role
La empresa A usa la cuenta A para crear un rol de RAM, adjunta la directiva relacionada con la suscripción del lado del servidor al rol de RAM y permite que el usuario de RAM perteneciente a la cuenta B asuma este rol.
-
Step 2: Receive AMQP server-side subscription messages across accounts
Una vez otorgados los permisos, el usuario de RAM de la cuenta B asume el rol de RAM de la cuenta A para obtener los permisos necesarios.
Paso 1: Cree un rol de RAM y otorgarle permisos
-
Create a RAM role for a trusted Alibaba Cloud account: La empresa A usa la cuenta A para iniciar sesión en la consola de RAM y crea un rol de RAM para la cuenta B de la empresa B.
En el paso Configure Role del asistente Create Role, seleccione Other Alibaba Cloud Account en el parámetro Select Trusted Alibaba Cloud Account e introduzca el ID de la cuenta B.
-
Create a custom policy on the JSON tab: La empresa A usa la cuenta A para crear una directiva personalizada.
Para otorgar el permiso de uso de la suscripción del lado del servidor, establezca el parámetro Action en
iot:sub. El siguiente código muestra el contenido de la directiva:{ "Statement": [ { "Action": "iot:sub", "Effect": "Allow", "Resource": "*" } ], "Version": "1" } Grant permissions to the RAM role: La empresa A usa la cuenta A para adjuntar la directiva personalizada creada en el paso anterior al rol de RAM.
Create a RAM user: La empresa B usa la cuenta B para iniciar sesión en la consola de RAM y crea un usuario de RAM.
Grant permissions to the RAM user: La empresa B usa la cuenta B para otorgar el permiso AliyunSTSAssumeRoleAccess al usuario de RAM creado en el paso anterior, de modo que pueda asumir el rol de RAM de la cuenta A.
Paso 2: Recibir mensajes de suscripción del lado del servidor AMQP entre cuentas
Configure an AMQP server-side subscription: La empresa A usa la cuenta A para iniciar sesión en la consola de IoT Platform y configura una suscripción del lado del servidor mediante Advanced Message Queuing Protocol (AMQP).
Configure an AMQP client to receive server-side subscription messages: La empresa B conecta un cliente AMQP a IoT Platform como usuario de RAM autorizado para recibir mensajes de dispositivos de la empresa A mediante la suscripción del lado del servidor.