Resource Access Management:Descripción general de aplicaciones OAuth

Concepto

Descripción

Usuario

Cuenta de Alibaba Cloud, usuario de RAM o rol de RAM que inicia sesión en Alibaba Cloud y autoriza a una aplicación para acceder a recursos en la nube.

Servicio OAuth de Alibaba Cloud

Autentica usuarios, obtiene su autorización y emite tokens para la aplicación autorizada.

Aplicación cliente

Aplicación creada en la cuenta actual de Alibaba Cloud. Los usuarios de esta cuenta pueden acceder directamente a la aplicación sin autorización. Los usuarios de otras cuentas de Alibaba Cloud deben instalar y autorizar la aplicación previamente.

Puede crear los siguientes tipos de aplicaciones cliente:

• Web Application: aplicación que se ejecuta en un navegador.

• Native Application: aplicación local que se ejecuta en un sistema operativo de escritorio o móvil.

• Server Application: aplicación que accede a los servicios de Alibaba Cloud sin inicio de sesión del usuario. Este tipo solo es compatible con aplicaciones de aprovisionamiento de usuarios basadas en SCIM.

Aplicación de terceros

Aplicación creada fuera de su cuenta que puede instalar y autorizar.

Aplicación oficial

Aplicación de terceros proporcionada por un servicio de Alibaba Cloud que cualquier cuenta de Alibaba Cloud puede instalar.

Alcance de OAuth

Los alcances de OAuth limitan los recursos a los que una aplicación puede acceder en nombre de un usuario con sesión iniciada. Se admiten los siguientes alcances:

• openid: obtiene el OpenID del usuario. Es el alcance predeterminado y no se puede eliminar.

  Nota

  El OpenID es un identificador de usuario único que no contiene el UID ni el nombre de usuario de Alibaba Cloud. Para obtener el UID o el nombre de usuario, solicite el alcance aliuid o profile.

• aliuid: obtiene el UID de Alibaba Cloud, incluido el UID del usuario de RAM y el UID de la cuenta principal.

• profile: obtiene el nombre de inicio de sesión del usuario. Para una cuenta de Alibaba Cloud, devuelve el nombre de inicio de sesión. Para un usuario de RAM, devuelve el UPN y el nombre para mostrar.

• /acs/ccc: accede a las API de Alibaba Cloud Call Center.

• /acs/cloudesl: accede a las API de Alibaba Cloud Price Tag.

• /acs/alidns: accede a las API de Alibaba Cloud DNS.

• /acs/scim: accede a SCIM.

• /acs/digitalstore: accede a Digital Store.

• /acs/scsp: accede a Smart Customer Service Platform.

• /acs/cloudgame: accede a Cloud Gaming Platform.

• /acs/aiccs: accede a Artificial Intelligence Cloud Call Service.

• /acs/alimt: accede a Machine Translation.

• /acs/easygene: accede a las API de Genomics Computing Platform.

• /acs/mcp-server: autoriza al servicio oficial de MCP para llamar a las API de servicios en la nube.

  Nota

  El alcance /acs/mcp-server solo es compatible con OAuth 2.1.

Token

Los tokens emitidos por el servicio OAuth representan la identidad del usuario con sesión iniciada.

• ID token: contiene información sobre la identidad del usuario, pero no otorga acceso a los recursos de Alibaba Cloud.

• Access token: contiene la identidad del usuario e información sobre el alcance de OAuth. Puede usar este token para acceder a los recursos de Alibaba Cloud dentro de los alcances otorgados.

• Refresh token: se usa para obtener un nuevo access token sin que el usuario tenga que iniciar sesión nuevamente.

API de Alibaba Cloud

Las aplicaciones llaman a las API de Alibaba Cloud para acceder a los recursos en la nube.

Parámetro

Descripción

Ejemplo

Alcance obligatorio

exp

Marca de tiempo UNIX en la que caduca el token.

1517539523

openid

sub

Identificador de usuario único y opaco que no contiene el UID ni el nombre de usuario de Alibaba Cloud.

123456789012****

openid

aud

Audiencia del token, que corresponde al ID de la aplicación OAuth.

4567890123456****

openid

iss

Emisor del token. El valor es https://oauth.aliyun.com.

https://oauth.aliyun.com

openid

iat

Marca de tiempo UNIX en la que se emitió el token.

1517533200

openid

aid

ID de la cuenta de Alibaba Cloud a la que pertenece el usuario.

177242285274****

aliuid

uid

ID del usuario con sesión iniciada. Valores válidos:

• Cuenta de Alibaba Cloud: ID de la cuenta de Alibaba Cloud. El valor coincide con la notificación aid.

• Usuario de RAM: ID del usuario de RAM.

• Rol de RAM: ID del rol de RAM.

20124982101502****

aliuid

type

Tipo de usuario con sesión iniciada. Valores válidos:

• account: cuenta de Alibaba Cloud

• user: usuario de RAM

• role: rol de RAM

user

profile

login_name

Nombre de inicio de sesión de la cuenta de Alibaba Cloud.

Alice

profile

upn

Nombre de inicio de sesión del usuario de RAM.

Bob@examplecompany.onaliyun.com

profile

name

Nombre del usuario con sesión iniciada. Valores válidos:

• Usuario de RAM: nombre para mostrar del usuario de RAM.

• Rol de RAM: <RoleName:RoleSessionName>.

Bob

profile