Resource Access Management:Create a RAM role for a trusted identity provider

Requisitos previos

Asegúrese de haber creado un proveedor de identidad SAML. Para obtener más información, consulte Manage SAML identity providers.

Procedimiento

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Roles.

3. En la página Roles, haga clic en Create Role.

4. En la esquina superior derecha de la página Create Role, haga clic en Switch to Policy Editor.

5. En el editor de directivas, especifique el proveedor de identidad SAML.

   El editor ofrece dos modos: Visual Editor y editor JSON. Puede utilizar cualquiera de los dos.

   • Visual Editor

     En la sección Principal, especifique el proveedor de identidad SAML.

     Seleccione el botón de opción Identity Provider y haga clic en el botón Edit situado junto a él para elegir el proveedor de identidad destino. En la sección Action, seleccione sts:AssumeRole para otorgar el permiso de asumir el rol.

     En el cuadro de diálogo Add Principal, seleccione Azure-AD en la lista Identity Provider y, a continuación, haga clic en OK.

   • Editor JSON

     En el elemento principal, especifique su proveedor SAML en el campo Federated y configure la condition.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Federated": "acs:ram::100*******0719:saml-provider/Azure-AD"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "saml:recipient": [
                 "https://signin.alibabacloud.com/saml-role/sso"
               ]
             }
           }
         }
       ]
     }

6. En el editor, configure las condiciones.

   La siguiente tabla describe las claves de condición a nivel de servicio disponibles.

   Clave de condición	Descripción	Obligatorio	Ejemplo
   saml:recipient	Alibaba Cloud comprueba el valor de este elemento para garantizar que la aserción SAML está destinada a Alibaba Cloud.	Sí	El valor es fijo: https://signin.alibabacloud.com/saml-role/sso

7. En el cuadro de diálogo Create Role, introduzca un Role Name y, a continuación, haga clic en OK.

Requisitos previos

Asegúrese de haber creado un proveedor de identidad OIDC. Para obtener más información, consulte Create an OIDC identity provider.

Procedimiento

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Identities > Roles.

3. En la página Roles, haga clic en Create Role.

4. En la esquina superior derecha de la página Create Role, haga clic en Switch to Policy Editor.

5. En el editor de directivas, especifique el proveedor de identidad OIDC.

   El editor ofrece dos modos: Visual Editor y editor JSON. Puede utilizar cualquiera de los dos.

   • Visual Editor

     En la sección Principal, especifique el proveedor de identidad OIDC.

     En el cuadro de diálogo Add Principal, establezca Identity Provider Type en OIDC, seleccione el proveedor destino en la lista desplegable Identity Provider y, a continuación, haga clic en OK.

   • Editor JSON

     En el elemento principal, especifique su proveedor OIDC en el campo Federated y configure la condition.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Federated": "acs:ram::100*******0719:oidc-provider/xiyun****"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "oidc:iss": [
                 "https://dev-xxxxxx.okta.com"
               ],
               "oidc:aud": [
                 "0oa294vi1vJoClev****"
               ]
             }
           }
         }
       ]
     }

6. En el editor, configure las condiciones.

   La siguiente tabla describe las claves de condición a nivel de servicio disponibles.

   Clave de condición	Descripción	Obligatorio	Ejemplo
   oidc:iss	El emisor OIDC. Para asumir el rol, el valor del claim iss en el token OIDC debe coincidir con esta condición. Esta condición debe usar el operador StringEquals. El valor debe ser la URL del emisor del proveedor de identidad OIDC. Esto garantiza que solo los tokens de un emisor de confianza puedan usarse para asumir el rol.	Sí	https://dev-xxxxxx.okta.com
   oidc:aud	La audiencia OIDC. Para asumir el rol, el valor del claim aud en el token OIDC debe coincidir con esta condición. Esta condición debe usar el operador StringEquals. El valor puede ser uno o varios de los ID de cliente del proveedor de identidad OIDC. Esto garantiza que solo los tokens OIDC generados por un ID de cliente específico puedan usarse para asumir el rol.	Sí	0oa294vi1vJoClev****
   oidc:sub	El sujeto OIDC. Para asumir el rol, el valor del claim sub en el token OIDC debe coincidir con esta condición. Puede usar cualquier operador de comparación de cadenas para esta condición opcional y especificar hasta 10 sujetos.	No	00u294e3mzNXt4Hi****

7. En el cuadro de diálogo Create Role, introduzca un Role Name y, a continuación, haga clic en OK.