Resource Access Management：Mengasumsikan Peran RAM

Cara kerja

Proses mengasumsikan peran RAM melibatkan langkah-langkah berikut, yang difasilitasi oleh Alibaba Cloud Security Token Service (STS).

1. Meminta kredensial. Suatu pihak (misalnya Pengguna RAM Alice) mengirim permintaan AssumeRole ke STS, dengan menentukan ARN dari peran yang akan diasumsikan (misalnya prod-role).

2. Memverifikasi izin. RAM memverifikasi dua hal: (a) bahwa Alice memiliki izin sts:AssumeRole dalam kebijakan aksesnya, dan (b) bahwa kebijakan kepercayaan prod-role menetapkan Alice (atau akunnya) sebagai pihak yang berwenang yang dipercaya.

3. Mendapatkan kredensial sementara. Jika kedua pemeriksaan berhasil, STS mengembalikan kredensial keamanan sementara (token STS).

4. Membuat permintaan. Pihak tersebut menggunakan token STS untuk membuat permintaan ke layanan Alibaba Cloud, seperti OSS. Layanan tersebut mengotorisasi permintaan berdasarkan kebijakan akses yang disambungkan ke prod-role.

Metode mengasumsikan peran

Suatu pihak dapat mengasumsikan peran dengan beberapa cara, tergantung pada kasus penggunaannya:

• Switching roles di console: Pengguna RAM yang telah diautentikasi dapat beralih dari identitas saat ini ke peran RAM untuk melakukan tugas di Alibaba Cloud Management Console.

• Akses programatik (API/CLI/SDK): Aplikasi atau skrip dapat memanggil operasi API (seperti AssumeRole dan AssumeRoleWithSAML) untuk memperoleh kredensial sementara bagi peran RAM. Alibaba Cloud CLI dan SDK menyederhanakan proses ini.

• Federasi identitas (SAML/OIDC): Pengguna dari penyedia identitas eksternal (IdP) dapat diberikan akses untuk mengasumsikan peran RAM, memungkinkan single sign-on (SSO) ke console atau akses API terfederasi. Untuk informasi lebih lanjut, lihat Role-based SSO.

• Peran layanan untuk resource Alibaba Cloud: Layanan Alibaba Cloud (seperti Elastic Compute Service atau Function Compute) dapat mengasumsikan peran RAM untuk mengakses resource lain atas nama Anda. Ini umum digunakan untuk aplikasi yang berjalan di infrastruktur Alibaba Cloud. Untuk informasi lebih lanjut, lihat Aplikasi di Alibaba Cloud mengakses resource Alibaba Cloud.

Topik ini berfokus pada pengasumsian peran melalui console, CLI, dan API. Untuk informasi tentang federasi dan peran layanan, lihat dokumentasi terkait.

Cross-account access

Anda dapat menggunakan peran RAM untuk memungkinkan pihak di satu akun mengakses resource di akun lain.

Hal ini memerlukan dua pengaturan izin utama:

• Kebijakan kepercayaan peran RAM di akun tujuan harus menetapkan akun sumber (atau pihak tertentu di dalamnya) sebagai pihak yang berwenang yang dipercaya.

• Pihak di akun sumber harus memiliki izin sts:AssumeRole dalam kebijakan aksesnya.

Untuk informasi lebih lanjut, lihat Akses resource lintas akun Alibaba Cloud.

Role chaining

Role chaining terjadi ketika Anda menggunakan kredensial satu peran RAM untuk mengasumsikan peran kedua. Misalnya, pengguna mengasumsikan Role-A, lalu menggunakan kredensial sementara dari Role-A untuk mengasumsikan Role-B.

Untuk mengaktifkan role chaining, peran pertama (Role-A) harus memiliki kebijakan akses yang mengizinkannya memanggil sts:AssumeRole pada peran kedua (Role-B). Selain itu, kebijakan kepercayaan Role-B harus menetapkan Role-A sebagai pihak yang berwenang yang dipercaya.

Contoh berikut menunjukkan cara menyiapkan role chaining dengan CLI.

1. Konfigurasikan profil CLI (seperti RamRoleArnProfile) untuk mengasumsikan peran awal (seperti admin-role) dalam rantai tersebut. Untuk petunjuk, lihat bagian "Mengasumsikan peran RAM dengan CLI" dalam topik ini.

2. Berikan izin peran sumber untuk mengasumsikan peran lain. Misalnya, sambungkan kebijakan AliyunSTSAssumeRoleAccess ke peran sumber.

3. Buat peran tujuan (seperti target-role) dan konfigurasikan kebijakan kepercayaannya untuk mempercayai peran sumber.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<ACCOUNT_ID>:role/admin-role"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. Konfigurasikan profil CLI baru menggunakan mode ChainableRamRoleArn.

   aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

5. Pada prompt, tentukan nama profil sumber (RamRoleArnProfile) dan ARN dari peran tujuan.

   Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
   Source Profile []: RamRoleArnProfile
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/target-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] zh: en
   Saving profile[ChainableProfile] ...Done.

6. Gunakan profil berantai baru untuk menjalankan perintah. Perintah tersebut dieksekusi dengan izin peran terakhir dalam rantai. Anda dapat memverifikasi hal ini dengan memanggil sts GetCallerIdentity.

   aliyun sts GetCallerIdentity

Bagaimana cara mengizinkan Pengguna RAM mengasumsikan hanya peran RAM tertentu?

Alih-alih menyambungkan kebijakan sistem AliyunSTSAssumeRoleAccess, buat kebijakan kustom untuk pengguna tersebut. Dalam kebijakan ini, tetapkan Action ke sts:AssumeRole dan tentukan ARN dari peran spesifik yang boleh diasumsikan dalam elemen Resource. Untuk contoh, lihat bagian "How do I restrict a specific RAM user from assuming a specific RAM role? " dalam FAQ tentang peran RAM dan token STS.

Bisakah pemilik akun Alibaba Cloud mengasumsikan peran RAM?

Tidak. Pemilik akun Alibaba Cloud tidak dapat mengasumsikan peran RAM. Pengasumsian peran dirancang untuk Pengguna RAM dan peran (serta pengguna federasi).

Apa yang harus saya lakukan jika kredensial sementara peran RAM bocor?

Jika Anda mencurigai bahwa kredensial sementara telah dikompromikan, Anda dapat segera membatalkan semua token aktif untuk peran RAM tersebut. Untuk petunjuk, lihat bagian "What do I do if an STS token is leaked? " dalam FAQ tentang peran RAM dan token STS.