OpenAPI Explorer:Identitas, kredensial, dan otorisasi

Identitas

Identitas secara unik mengidentifikasi pengguna. Alibaba Cloud menentukan izin berdasarkan identitas dan mendukung tiga jenis: Akun Alibaba Cloud, Pengguna Resource Access Management (RAM), dan Peran RAM.

• Akun Alibaba Cloud

  Akun Alibaba Cloud memiliki semua sumber daya di bawahnya dan diberikan izin penuh. Tagihan atas seluruh penggunaan sumber daya dibebankan ke akun ini. Gunakan Pengguna RAM atau Peran RAM untuk masuk ke Konsol dan memanggil operasi API, kecuali jika Akun Alibaba Cloud secara eksplisit diperlukan.

• Pengguna RAM

  Identitas dengan ID dan kredensial tetap yang merepresentasikan seseorang atau aplikasi. Untuk informasi lebih lanjut, lihat Ikhtisar.

• Peran RAM

  Peran RAM adalah jenis identitas RAM yang memiliki kebijakan terlampir. Berbeda dengan Pengguna RAM, peran tidak terikat pada satu orang atau aplikasi—setiap entitas tepercaya dapat mengasumsikannya. Peran tidak memiliki kredensial jangka panjang seperti kata sandi atau pasangan AccessKey. Ketika suatu entitas mengasumsikan peran, Security Token Service (STS) menghasilkan kredensial keamanan sementara yang hanya berlaku untuk sesi tersebut.

  Sebagai contoh, Akun A membuat Peran RAM a_rr1, memberikan izin FullAccess pada Object Storage Service (OSS) kepadanya, dan menetapkannya kepada Pengguna RAM b_ru1 dari Akun B. Pengguna RAM b_ru1 kemudian dapat mengasumsikan a_rr1 untuk mengelola sumber daya OSS milik Akun A.

  Untuk informasi lebih lanjut, lihat Ikhtisar.

Kredensial

Kredensial memverifikasi identitas pengguna. Anda harus menyediakan kredensial yang valid untuk melakukan autentikasi saat masuk. Alibaba Cloud mendukung jenis kredensial berikut:

• Pasangan AccessKey dari Akun Alibaba Cloud atau Pengguna RAM. Pasangan AccessKey terdiri dari ID AccessKey dan Rahasia AccessKey, serta berlaku permanen.

  Peringatan

  Pasangan AccessKey dari Akun Alibaba Cloud memiliki akses penuh ke semua sumber daya akun. Kebocoran pasangan AccessKey menimbulkan ancaman keamanan kritis. Gunakan pasangan AccessKey milik Pengguna RAM dan putar secara berkala. Untuk informasi tentang cara membuat pasangan AccessKey untuk Pengguna RAM, lihat Buat AccessKey.

• Token Security Token Service (STS) dari Peran RAM. Token STS adalah kredensial sementara dengan periode validitas dan izin yang dapat dikonfigurasi. Untuk informasi lebih lanjut, lihat Ikhtisar STS.

  Catatan

  Token STS memiliki periode validitas. Anda harus memperbarui token STS setelah masa berlakunya habis.

• Bearer token untuk autentikasi dan otorisasi. Hanya Cloud Call Center yang memungkinkan Anda menggunakan bearer token untuk menginisialisasi client Credentials. Untuk menggunakan bearer token, pilih BearerToken untuk parameter Configure Authentication Mode.

Kebocoran kredensial menimbulkan ancaman kritis terhadap sumber daya cloud dan bisnis Anda. Utamakan keamanan kredensial selama operasi dan pemeliharaan rutin. Untuk informasi lebih lanjut, lihat Solusi keamanan kredensial.

Otorisasi

Otorisasi memberikan izin akses sumber daya kepada pengguna oleh administrator sistem atau pemilik sumber daya. Setelah memverifikasi identitas pengguna, sistem menentukan apakah pengguna dapat melakukan operasi tertentu berdasarkan izin yang diberikan.

Setiap operasi API Alibaba Cloud memerlukan izin minimum. Lihat izin yang diperlukan pada halaman API Docs dari operasi API tersebut di OpenAPI Explorer. Gambar berikut menunjukkan informasi otorisasi untuk operasi RunInstances dari Elastic Compute Service (ECS).

• Akun Alibaba Cloud

  Akun Alibaba Cloud memiliki izin penuh dan tidak dapat diubah terhadap semua sumber daya di dalamnya. Anda tidak perlu memberikan izin kepada Akun Alibaba Cloud, dan izin tersebut tidak dapat dimodifikasi. Namun, jika akun tersebut termasuk dalam direktori sumber daya, kebijakan kontrol akses direktori tersebut mungkin berlaku. Untuk informasi lebih lanjut, lihat Ikhtisar.

• Pengguna RAM

  Anda dapat memberikan izin yang ditampilkan pada halaman API Docs suatu operasi API kepada Pengguna RAM. Untuk informasi lebih lanjut, lihat Kelola izin Pengguna RAM.

• Peran RAM

  Dibandingkan dengan otorisasi untuk Pengguna RAM, otorisasi untuk Peran RAM memerlukan langkah tambahan.

  1. Tentukan entitas tepercaya dari Peran RAM: Akun Alibaba Cloud, Pengguna RAM, atau Peran RAM lainnya.

  2. Berikan izin yang diperlukan. Untuk informasi lebih lanjut, lihat Ikhtisar.

  Pertimbangkan skenario berikut saat memberikan izin kepada Peran RAM:

  Skenario 1: Rantai otorisasi

  Sebagai contoh, Pengguna RAM aRamUser1 dari Akun A dapat mengasumsikan Peran RAM bRamRole1 dari Akun B, dan bRamRole1 dapat mengasumsikan Peran RAM cRamRole1 dari Akun C. Meskipun aRamUser1 tidak secara langsung diizinkan mengasumsikan cRamRole1, pengguna tersebut dapat mengakses sumber daya Akun C melalui bRamRole1. Inilah efek rantai otorisasi.

  Skenario 2: Otorisasi implisit

  Jika Anda menetapkan Akun Alibaba Cloud saat ini sebagai entitas tepercaya suatu Peran RAM, setiap Pengguna RAM atau Peran RAM dengan izin assumeRole dalam akun tersebut secara default dapat mengasumsikan peran tersebut. Jika peran tersebut memiliki izin tingkat tinggi, setiap Pengguna RAM atau Peran RAM yang hanya memiliki izin assumeRole akan memperoleh izin tingkat tinggi tersebut.