Gunakan AssumeRoleWithOIDC untuk menerbitkan token STS bagi identitas federated - RAM - Alibaba Cloud - Resource Access Management

Mengambil token Layanan Token Keamanan (STS) untuk mengasumsikan peran RAM selama SSO peran berbasis OIDC dengan memanggil operasi AssumeRoleWithOIDC.

Deskripsi operasi

Sebelum Anda memulai

Pastikan Anda telah memperoleh token OIDC dari penyedia identitas (IdP) eksternal.
Pastikan Anda telah membuat Penyedia Identitas OIDC di RAM. Untuk informasi lebih lanjut, lihat Membuat Penyedia Identitas OIDC atau CreateOIDCProvider.
Pastikan Anda telah membuat peran RAM yang entitas tepercayanya adalah Penyedia Identitas OIDC. Untuk informasi lebih lanjut, lihat Membuat peran RAM untuk IdP tepercaya atau CreateRole.

Coba sekarang

Coba API ini di OpenAPI Explorer tanpa perlu penandatanganan manual. Panggilan yang berhasil akan secara otomatis menghasilkan contoh kode SDK sesuai dengan parameter Anda. Unduh kode tersebut dengan kredensial bawaan yang aman untuk penggunaan lokal.

Test

RAM authorization

Tidak ada otorisasi untuk operasi ini. Jika Anda mengalami masalah saat menjalankan operasi ini, hubungi dukungan teknis.

Parameter permintaan

Parameter	Type	Required	Description	Example
OIDCProviderArn	string	No	Nama Sumber Daya Alibaba Cloud (ARN) dari Penyedia Identitas OIDC. Anda dapat melihat ARN Penyedia Identitas OIDC di Konsol Resource Access Management (RAM) atau dengan memanggil operasi API: Konsol RAM: Lihat Melihat informasi Penyedia Identitas OIDC. API: Lihat GetOIDCProvider atau ListOIDCProviders.	acs:ram::113511544585****:oidc-provider/TestOidcIdp
RoleArn	string	No	ARN peran RAM yang akan diasumsikan. Anda dapat melihat ARN peran di Konsol Resource Access Management (RAM) atau dengan memanggil operasi API: Konsol Resource Access Management (RAM): Lihat Bagaimana cara melihat ARN peran RAM?. API: Lihat ListRoles atau GetRole.	acs:ram::113511544585****:role/testoidc
OIDCToken	string	No	Token OIDC yang diterbitkan oleh IdP eksternal. Panjang: 4 hingga 20.000 karakter. Catatan Berikan token OIDC asli tanpa dekode Base64.	eyJraWQiOiJKQzl3eHpyaHFKMGd0****
Policy	string	No	Kebijakan izin tambahan yang dilampirkan pada token STS untuk membatasi izinnya lebih lanjut: Jika Anda menentukan kebijakan akses, izin akhir token STS adalah irisan dari izin peran RAM dan kebijakan akses. Jika Anda tidak menentukan kebijakan akses, izin akhir token STS adalah izin peran RAM. Panjang: 1 hingga 2.048 karakter.	{"Statement": [{"Action": [""],"Effect": "Allow","Resource": [""]}],"Version":"1"}
DurationSeconds	integer	No	Periode validitas token. Unit: detik. Nilai default: 3600. Nilai minimum: 900. Nilai maksimum: nilai yang ditentukan oleh `MaxSessionDuration`. Untuk mengatur durasi sesi maksimum `MaxSessionDuration` untuk peran, lihat CreateRole atau UpdateRole.	3600
RoleSessionName	string	Yes	Nama sesi peran. Ini adalah parameter yang ditentukan pengguna. Atur parameter ini ke identitas pemanggil API, seperti nama pengguna. Dalam log ActionTrail, Anda dapat menggunakan nilai RoleSessionName yang berbeda untuk membedakan operator aktual meskipun peran RAM yang sama digunakan, sehingga memungkinkan audit akses tingkat pengguna. Format: Nilai dapat berisi huruf, digit, titik (.), tanda at (@), tanda hubung (-), dan garis bawah (_). Panjang: 2 hingga 64 karakter.	TestOidcAssumedRoleSession

Catatan

Karena operasi AssumeRoleWithOIDC menggunakan token OIDC untuk autentikasi dan mendukung akses anonim, Anda tidak perlu menyediakan parameter permintaan umum Signature, SignatureMethod, SignatureVersion, atau AccessKeyId. Untuk informasi lebih lanjut tentang parameter permintaan umum, lihat Parameter permintaan umum.

Elemen respons

Element	Type	Description	Example
	object	Parameter tanggapan.
RequestId	string	ID permintaan.	3D57EAD2-8723-1F26-B69C-F8707D8B565D
OIDCTokenInfo	object	Informasi token OIDC yang diurai.
Subject	string	Subjek OIDC. Ini sesuai dengan bidang `sub` dalam token OIDC.	KryrkIdjylZb7agUgCEf****
Issuer	string	URL penerbit OIDC. Ini sesuai dengan bidang `iss` dalam token OIDC.	https://dev-xxxxxx.okta.com
ClientIds	string	Audien OIDC. Beberapa nilai dipisahkan oleh koma (,). Ini sesuai dengan bidang `aud` dalam token OIDC.	496271242565057****
ExpirationTime	string	Waktu kedaluwarsa token OIDC (UTC).	2021-10-20T04:27:09Z
IssuanceTime	string	Waktu penerbitan token OIDC (UTC).	2021-10-20T03:27:09Z
VerificationInfo	string	Informasi verifikasi token OIDC. Untuk informasi lebih lanjut, lihat Mengelola Penyedia Identitas OIDC.	Success
AssumedRoleUser	object	Identitas sementara untuk asumsi peran.
AssumedRoleId	string	ID identitas sementara.	33157794895460****
Arn	string	ARN identitas sementara.	acs:ram::113511544585****:role/testoidc/TestOidcAssumedRoleSession
Credentials	object	Kredensial akses sementara (token STS).
SecurityToken	string	Token keamanan. Catatan Panjang token keamanan tidak tetap. Jangan menerapkan batas panjang maksimum apa pun pada token keamanan.	CAIShwJ1q6Ft5B2yfSjIr5bSEsj4g7BihPWGWHz****
Expiration	string	Waktu token kedaluwarsa (UTC).	2021-10-20T04:27:09Z
AccessKeySecret	string	Rahasia AccessKey.	CVwjCkNzTMupZ8NbTCxCBRq3K16jtcWFTJAyBEv2****
AccessKeyId	string	ID AccessKey.	STS.NUgYrLnoC37mZZCNnAbez****
SourceIdentity	string	Informasi identitas sumber. Saat mengasumsikan peran, Anda dapat menentukan identitas sumber (SourceIdentity) sebagai identitas awal sesi. Nilai identitas sumber bertahan sepanjang sesi asumsi peran berantai dan tidak dapat diubah, memastikan keterlacakan dan keamanan operasi. Jika tidak ada identitas sumber yang ditentukan, bidang ini tidak dikembalikan.	Alice

Contoh

Respons sukses

JSONformat

{
  "RequestId": "3D57EAD2-8723-1F26-B69C-F8707D8B565D",
  "OIDCTokenInfo": {
    "Subject": "KryrkIdjylZb7agUgCEf****",
    "Issuer": "https://dev-xxxxxx.okta.com",
    "ClientIds": "496271242565057****",
    "ExpirationTime": "2021-10-20T04:27:09Z",
    "IssuanceTime": "2021-10-20T03:27:09Z",
    "VerificationInfo": "Success"
  },
  "AssumedRoleUser": {
    "AssumedRoleId": "33157794895460****",
    "Arn": "acs:ram::113511544585****:role/testoidc/TestOidcAssumedRoleSession"
  },
  "Credentials": {
    "SecurityToken": "CAIShwJ1q6Ft5B2yfSjIr5bSEsj4g7BihPWGWHz****",
    "Expiration": "2021-10-20T04:27:09Z",
    "AccessKeySecret": "CVwjCkNzTMupZ8NbTCxCBRq3K16jtcWFTJAyBEv2****",
    "AccessKeyId": "STS.NUgYrLnoC37mZZCNnAbez****"
  },
  "SourceIdentity": "Alice"
}

Kode kesalahan

Lihat Error Codes untuk daftar lengkap.

Catatan rilis

Lihat Release Notes untuk daftar lengkap.