AssumeRoleWithOIDC - - Centre de documentation Alibaba Cloud

Obtient un jeton Security Token Service (STS) pour endosser un rôle RAM lors d'une SSO de rôle basée sur OIDC en appelant l'opération AssumeRoleWithOIDC.

Description de l'opération

Avant de commencer

Assurez-vous d'avoir obtenu un jeton OIDC auprès d'un fournisseur d'identité (IdP) externe.
Assurez-vous d'avoir créé un IdP OIDC dans RAM. Pour plus d'informations, consultez Créer un IdP OIDC ou CreateOIDCProvider.
Assurez-vous d'avoir créé un rôle RAM dont l'entité de confiance est l'IdP OIDC. Pour plus d'informations, consultez Créer un rôle RAM pour un IdP de confiance ou CreateRole.

Testez maintenant

Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale. Testez cette API dans OpenAPI Explorer, sans signature manuelle. Les appels réussis génèrent automatiquement du code SDK correspondant à vos paramètres. Téléchargez-le avec une sécurité intégrée des identifiants pour une utilisation locale.

Test

Autorisation RAM

Aucune autorisation n'est requise pour cette opération. En cas de problème, contactez le support technique.

Paramètres de requête

Paramètre	Type	Requis	Description	Exemple
OIDCProviderArn	string	Non	Le nom de ressource Alibaba Cloud (ARN) de l'IdP OIDC. Vous pouvez consulter l'ARN de l'IdP OIDC dans la console Resource Access Management (RAM) ou en appelant une opération d'API : Console RAM : consultez Afficher les informations d'un IdP OIDC. API : consultez GetOIDCProvider ou ListOIDCProviders.	acs:ram::113511544585****:oidc-provider/TestOidcIdp
RoleArn	string	Non	L'ARN du rôle RAM à endosser. Vous pouvez consulter l'ARN du rôle dans la console Resource Access Management (RAM) ou en appelant une opération d'API : Console Resource Access Management (RAM) : consultez Comment afficher l'ARN d'un rôle RAM ?. API : consultez ListRoles ou GetRole.	acs:ram::113511544585****:role/testoidc
OIDCToken	string	Non	Le jeton OIDC émis par l'IdP externe. Longueur : de 4 à 20 000 caractères. Remarque Fournissez le jeton OIDC d'origine sans décodage Base64.	eyJraWQiOiJKQzl3eHpyaHFKMGd0****
Policy	string	Non	Une stratégie d'autorisation supplémentaire jointe au jeton STS pour restreindre davantage ses autorisations : Si vous spécifiez une stratégie d'accès, les autorisations finales du jeton STS correspondent à l'intersection des autorisations du rôle RAM et de la stratégie d'accès. Si vous ne spécifiez pas de stratégie d'accès, les autorisations finales du jeton STS correspondent aux autorisations du rôle RAM. Longueur : de 1 à 2 048 caractères.	{"Statement": [{"Action": [""],"Effect": "Allow","Resource": [""]}],"Version":"1"}
DurationSeconds	integer	Non	La durée de validité du jeton. Unité : secondes. Valeur par défaut : 3600. Valeur minimale : 900. Valeur maximale : la valeur spécifiée par MaxSessionDuration. Pour définir la durée maximale de session MaxSessionDuration pour un rôle, consultez CreateRole ou UpdateRole.	3600
RoleSessionName	string	Oui	Le nom de la session de rôle. Il s'agit d'un paramètre défini par l'utilisateur. Définissez ce paramètre sur l'identité de l'appelant de l'API, comme un nom d'utilisateur. Dans les journaux ActionTrail, vous pouvez utiliser différentes valeurs de RoleSessionName pour distinguer les opérateurs réels même lorsque le même rôle RAM est utilisé, ce qui permet un audit d'accès au niveau de l'utilisateur. Format : la valeur peut contenir des lettres, des chiffres, des points (.), des arobases (@), des traits d'union (-) et des traits de soulignement (_). Longueur : de 2 à 64 caractères.	TestOidcAssumedRoleSession

Remarque

Étant donné que l'opération AssumeRoleWithOIDC utilise un jeton OIDC pour l'authentification et prend en charge l'accès anonyme, vous n'avez pas besoin de fournir les paramètres de requête communs Signature, SignatureMethod, SignatureVersion ou AccessKeyId. Pour plus d'informations sur les paramètres de requête communs, consultez Paramètres de requête communs.

Éléments de réponse

Élément	Type	Description	Exemple
	object	Les paramètres de réponse.
RequestId	string	L'identifiant de la requête.	3D57EAD2-8723-1F26-B69C-F8707D8B565D
OIDCTokenInfo	object	Les informations analysées du jeton OIDC.
Subject	string	Le sujet OIDC. Cela correspond au champ sub dans le jeton OIDC.	KryrkIdjylZb7agUgCEf****
Issuer	string	L'URL de l'émetteur OIDC. Cela correspond au champ iss dans le jeton OIDC.	https://dev-xxxxxx.okta.com
ClientIds	string	L'audience OIDC. Les valeurs multiples sont séparées par des virgules (,). Cela correspond au champ aud dans le jeton OIDC.	496271242565057****
ExpirationTime	string	L'heure d'expiration du jeton OIDC (UTC).	2021-10-20T04:27:09Z
IssuanceTime	string	L'heure d'émission du jeton OIDC (UTC).	2021-10-20T03:27:09Z
VerificationInfo	string	Les informations de vérification du jeton OIDC. Pour plus d'informations, consultez Gérer un IdP OIDC.	Success
AssumedRoleUser	object	L'identité temporaire pour l'endossement de rôle.
AssumedRoleId	string	L'identifiant de l'identité temporaire.	33157794895460****
Arn	string	L'ARN de l'identité temporaire.	acs:ram::113511544585****:role/testoidc/TestOidcAssumedRoleSession
Credentials	object	Les informations d'identification d'accès temporaires (jeton STS).
SecurityToken	string	Le jeton de sécurité. Remarque La longueur du jeton de sécurité n'est pas fixe. N'imposez aucune limite de longueur maximale au jeton de sécurité.	CAIShwJ1q6Ft5B2yfSjIr5bSEsj4g7BihPWGWHz****
Expiration	string	L'heure d'expiration du jeton (UTC).	2021-10-20T04:27:09Z
AccessKeySecret	string	Le secret AccessKey.	CVwjCkNzTMupZ8NbTCxCBRq3K16jtcWFTJAyBEv2****
AccessKeyId	string	L'identifiant AccessKey.	STS.NUgYrLnoC37mZZCNnAbez****
SourceIdentity	string	Les informations d'identité source. Lors de l'endossement d'un rôle, vous pouvez spécifier une identité source (SourceIdentity) comme identité initiale de la session. La valeur de l'identité source persiste tout au long des sessions d'endossement de rôle en chaîne et ne peut pas être modifiée, garantissant ainsi la traçabilité et la sécurité des opérations. Si aucune identité source n'est spécifiée, ce champ n'est pas renvoyé.	Alice

Exemples

JSON format

{
  "RequestId": "3D57EAD2-8723-1F26-B69C-F8707D8B565D",
  "OIDCTokenInfo": {
    "Subject": "KryrkIdjylZb7agUgCEf****",
    "Issuer": "https://dev-xxxxxx.okta.com",
    "ClientIds": "496271242565057****",
    "ExpirationTime": "2021-10-20T04:27:09Z",
    "IssuanceTime": "2021-10-20T03:27:09Z",
    "VerificationInfo": "Success"
  },
  "AssumedRoleUser": {
    "AssumedRoleId": "33157794895460****",
    "Arn": "acs:ram::113511544585****:role/testoidc/TestOidcAssumedRoleSession"
  },
  "Credentials": {
    "SecurityToken": "CAIShwJ1q6Ft5B2yfSjIr5bSEsj4g7BihPWGWHz****",
    "Expiration": "2021-10-20T04:27:09Z",
    "AccessKeySecret": "CVwjCkNzTMupZ8NbTCxCBRq3K16jtcWFTJAyBEv2****",
    "AccessKeyId": "STS.NUgYrLnoC37mZZCNnAbez****"
  },
  "SourceIdentity": "Alice"
}

Codes d'erreur

Consultez Codes d'erreur pour la liste complète.

Notes de version

Consultez Notes de version pour la liste complète.