Autorizar a un usuario de RAM de la cuenta actual de Alibaba Cloud para usar la suscripción del lado del servidor - IoT Platform

Puede usar un rol de Resource Access Management (RAM) para autorizar a un usuario de RAM a recibir mensajes de suscripción del lado del servidor from IoT Platform.

Contexto

Security Token Service (STS) proporciona credenciales temporales para acceder a los recursos de Alibaba Cloud. RAM admite dos tipos de identidad: usuario de RAM y rol de RAM.

Un rol de RAM es una identidad virtual a la que se pueden adjuntar políticas. Los roles de RAM no tienen contraseñas de inicio de sesión ni pares de AccessKey. Una entidad de confianza, como un usuario de RAM, un servicio de Alibaba Cloud o un proveedor de identidades (IdP), debe asumir el rol de RAM. Tras asumir un rol de RAM, la entidad de confianza obtiene un token de STS para acceder a los recursos autorizados para dicho rol.

Para obtener más información sobre las funciones y ventajas de STS, consulte What is STS?

Nota

También puede autorizar directamente a un usuario de RAM para acceder a los recursos de IoT Platform. Sin embargo, la autorización mediante un rol de RAM es más segura porque el acceso se limita a los permisos otorgados al rol.

Si autoriza directamente a un usuario de RAM, debe otorgarle el permiso para usar la función de suscripción del lado del servidor AMQP (iot:sub). De lo contrario, la conexión fallará. Para obtener más información sobre cómo otorgar permisos, consulte RAM authorization for IoT Platform.

Paso 1: Crear un rol de RAM y otorgarle permisos

Create a RAM role for a trusted Alibaba Cloud account: Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud y cree un rol de RAM para la cuenta actual de Alibaba Cloud.

En el paso Configure Role del asistente Create Role, seleccione Current Alibaba Cloud Account en el parámetro Select Trusted Alibaba Cloud Account.
Create a custom policy on the JSON tab: Use su cuenta de Alibaba Cloud para crear una política personalizada.

Para otorgar el permiso de uso de la suscripción del lado del servidor, establezca el parámetro Action en iot:sub. A continuación se muestra el contenido de la política:
```
{
  "Statement": [
    {
      "Action": "iot:sub",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}
```
Grant permissions to the RAM role: Use su cuenta de Alibaba Cloud para adjuntar al rol de RAM la política personalizada que creó en el paso anterior.
Create a RAM user: Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud y cree un usuario de RAM.
Grant permissions to the RAM user: Use su cuenta de Alibaba Cloud para otorgar el permiso AliyunSTSAssumeRoleAccess al usuario de RAM que creó en el paso anterior. Así, el usuario de RAM podrá asumir el rol de RAM de su cuenta de Alibaba Cloud.

Paso 2: Recibir mensajes de suscripción del lado del servidor AMQP como usuario de RAM

Configure an AMQP server-side subscription: Inicie sesión en la consola de IoT Platform con su cuenta de Alibaba Cloud y configure una suscripción del lado del servidor Advanced Message Queuing Protocol (AMQP).
Configure an AMQP client to receive server-side subscription messages: Conecte un cliente AMQP a IoT Platform como el usuario de RAM que creó para recibir mensajes de dispositivos from IoT Platform mediante la función de suscripción del lado del servidor.