Resource Access Management:OAuth application overview

Concept

Description

Utilisateur

Un compte Alibaba Cloud, un utilisateur RAM ou un rôle RAM qui se connecte à Alibaba Cloud et autorise une application à accéder aux ressources cloud.

Service OAuth Alibaba Cloud

Authentifie les utilisateurs, obtient leur autorisation et délivre des jetons à l'application autorisée.

Application cliente

Une application créée dans le compte Alibaba Cloud actuel. Les utilisateurs de ce compte peuvent accéder directement à l'application sans autorisation. Les utilisateurs d'autres comptes Alibaba Cloud doivent d'abord installer et autoriser l'application.

Vous pouvez créer les types d'applications clientes suivants :

• Web Application : application s'exécutant dans un navigateur.

• Native Application : application locale s'exécutant sur un système d'exploitation de bureau ou mobile.

• Server Application : application accédant aux services Alibaba Cloud sans connexion utilisateur. Ce type est pris en charge uniquement pour les applications de provisionnement d'utilisateurs basées sur SCIM.

Application tierce

Une application créée en dehors de votre compte que vous pouvez installer et autoriser.

Application officielle

Une application tierce fournie par un service Alibaba Cloud que tout compte Alibaba Cloud peut installer.

Étendue OAuth

Les étendues OAuth limitent les ressources auxquelles une application peut accéder pour le compte d'un utilisateur connecté. Les étendues suivantes sont prises en charge :

• openid : obtient l'OpenID de l'utilisateur. Il s'agit de l'étendue par défaut ; elle ne peut pas être supprimée.

  Remarque

  L'OpenID est un identifiant utilisateur unique qui ne contient ni l'UID Alibaba Cloud ni le nom d'utilisateur. Pour obtenir l'UID ou le nom d'utilisateur, demandez l'étendue aliuid ou profile.

• aliuid : obtient l'UID Alibaba Cloud, y compris l'UID de l'utilisateur RAM et l'UID du compte parent.

• profile : obtient le nom de connexion de l'utilisateur. Pour un compte Alibaba Cloud, renvoie le nom de connexion. Pour un utilisateur RAM, renvoie l'UPN et le nom d'affichage.

• /acs/ccc : accède aux API Alibaba Cloud Call Center.

• /acs/cloudesl : accède aux API Alibaba Cloud Price Tag.

• /acs/alidns : accède aux API Alibaba Cloud DNS.

• /acs/scim : accède à SCIM.

• /acs/digitalstore : accède à Digital Store.

• /acs/scsp : accède à Smart Customer Service Platform.

• /acs/cloudgame : accède à Cloud Gaming Platform.

• /acs/aiccs : accède à Artificial Intelligence Cloud Call Service.

• /acs/alimt : accède à Machine Translation.

• /acs/easygene : accède aux API Genomics Computing Platform.

• /acs/mcp-server : autorise le service MCP officiel à appeler les API des services cloud.

  Remarque

  L'étendue /acs/mcp-server est prise en charge uniquement dans OAuth 2.1.

Jeton

Les jetons délivrés par le service OAuth représentent l'identité de l'utilisateur connecté.

• Jeton ID : contient les informations d'identité de l'utilisateur mais n'accorde pas l'accès aux ressources Alibaba Cloud.

• Jeton d'accès : contient les informations d'identité de l'utilisateur et l'étendue OAuth. Utilisez ce jeton pour accéder aux ressources Alibaba Cloud dans les limites des étendues accordées.

• Jeton d'actualisation : permet d'obtenir un nouveau jeton d'accès sans obliger l'utilisateur à se reconnecter.

API Alibaba Cloud

Les applications appellent les API Alibaba Cloud pour accéder aux ressources cloud.

Paramètre

Description

Exemple

Étendue requise

exp

L'horodatage UNIX correspondant à l'expiration du jeton.

1517539523

openid

sub

Un identifiant utilisateur unique et opaque qui ne contient ni l'UID Alibaba Cloud ni le nom d'utilisateur.

123456789012****

openid

aud

Le destinataire du jeton, c'est-à-dire l'ID de l'application OAuth.

4567890123456****

openid

iss

L'émetteur du jeton. La valeur est https://oauth.aliyun.com.

https://oauth.aliyun.com

openid

iat

L'horodatage UNIX correspondant à l'émission du jeton.

1517533200

openid

aid

L'ID du compte Alibaba Cloud auquel appartient l'utilisateur.

177242285274****

aliuid

uid

L'ID de l'utilisateur connecté. Valeurs possibles :

• Compte Alibaba Cloud : l'ID du compte Alibaba Cloud. La valeur est identique à celle de la revendication aid.

• Utilisateur RAM : l'ID de l'utilisateur RAM.

• Rôle RAM : l'ID du rôle RAM.

20124982101502****

aliuid

type

Le type de l'utilisateur connecté. Valeurs possibles :

• account : compte Alibaba Cloud

• user : utilisateur RAM

• role : rôle RAM

user

profile

login_name

Le nom de connexion du compte Alibaba Cloud.

Alice

profile

upn

Le nom de connexion de l'utilisateur RAM.

Bob@examplecompany.onaliyun.com

profile

name

Le nom de l'utilisateur connecté. Valeurs possibles :

• Utilisateur RAM : le nom d'affichage de l'utilisateur RAM.

• Rôle RAM : <RoleName:RoleSessionName>.

Bob

profile