Resource Access Management:Mengasumsikan Peran RAM

Mengasumsikan Peran RAM di Konsol

Setelah Anda login ke Konsol sebagai Pengguna RAM atau melalui SSO berbasis peran, Anda dapat mengasumsikan Peran RAM dengan mengganti identitas.

Prosedur1. Login ke Konsol RAM sebagai Pengguna RAM atau melalui SSO berbasis peran.

2. Arahkan kursor ke gambar profil di pojok kanan atas dan klik Switch Identity.

   

3. Di halaman Switch Role, masukkan informasi Peran RAM yang ingin Anda asumsikan.

   a. enterprise alias / default domain name / ID akun Alibaba Cloud: Masukkan salah satu dari berikut: enterprise alias (alias akun) dari akun yang memiliki Peran RAM, nama domain default, atau ID akun Alibaba Cloud dari akun yang memiliki peran tersebut. Untuk beralih lintas akun, masukkan ID akun Alibaba Cloud dari akun target.

   b. Role name: Nama Peran RAM yang ingin Anda asumsikan. Tanyakan kepada administrator Anda, atau lihat di halaman Identity Management > Roles di Konsol RAM.

4. Klik Submit.

   Setelah identitas dialihkan, Anda mengoperasikan Konsol sebagai Peran RAM. Area gambar profil di pojok kanan atas Konsol menampilkan identitas saat ini dan identitas login (identitas awal). Panel tersebut mencakup label RAM role yang mengidentifikasi jenis identitas saat ini. Di bagian bawah, tersedia tombol Back to Logon Identity dan Sign Out.

5. (Opsional) Untuk kembali ke identitas login awal, arahkan kursor ke gambar profil di pojok kanan atas Konsol dan klik Back to Logon Identity. Setelah beralih, izin Peran RAM menjadi tidak berlaku, dan izin identitas awal dipulihkan.

   Tabel berikut menjelaskan format tampilan identitas login dan identitas saat ini:

Deskripsi field

• RoleName: Nama peran yang sedang diasumsikan.

• RoleSessionName: Nama sesi. Ini adalah username RAM saat Pengguna RAM login. Pada login SSO berbasis peran, nilainya disediakan oleh IdP dan tetap tidak berubah setelah Anda mengganti identitas.

Contoh

Pengguna Tom (UPN: tom@example.com, di mana UPN adalah User Principal Name) login ke Konsol melalui SSO berbasis peran sebagai peran test-saml-role1, lalu beralih ke peran alice-testrole. Asumsikan bahwa RoleSessionName adalah UPN pengguna. Identitas login dan identitas saat ini adalah sebagai berikut:

• Identitas login: test-saml-role1/tom@example.com

• Identitas saat ini: alice-testrole/tom@example.com

Mengasumsikan Peran RAM dengan memanggil operasi API

Anda dapat memanggil operasi STS untuk mengasumsikan Peran RAM dan mendapatkan token STS dari peran yang diasumsikan. Saat program atau layanan mengakses sumber daya Alibaba Cloud dengan token STS, program tersebut dapat melakukan operasi dalam batas izin peran yang diasumsikan.

Operasi asumsi peran

Tabel berikut menjelaskan operasi asumsi peran STS. Pilih operasi berdasarkan metode kredensial atau federasi identitas pemanggil.

Saat memanggil operasi di atas, Anda harus menggunakan parameter RoleArn untuk menentukan Peran RAM yang ingin Anda asumsikan. Format ARN adalah acs:ram::<ID akun Alibaba Cloud>:role/<nama peran>.

Anda juga dapat meneruskan parameter Policy (kebijakan sesi) untuk lebih membatasi izin peran yang diasumsikan dalam sesi peran saat ini.

Izin yang diperlukan

Izin yang diperlukan berbeda-beda tergantung pada operasi yang Anda gunakan untuk asumsi peran:

• Jika Anda menggunakan operasi AssumeRole, pemanggil harus diberikan izin operasi sts:AssumeRole. Misalnya, Anda dapat menyambungkan kebijakan sistem AliyunSTSAssumeRoleAccess ke pemanggil.

• Jika Anda menggunakan operasi AssumeRoleWithSAML atau AssumeRoleWithOIDC, Anda hanya perlu mengonfigurasi IdP SAML atau OIDC tepercaya dengan benar dalam kebijakan kepercayaan Peran RAM target. Tidak perlu memberikan kebijakan akses RAM secara terpisah ke identitas eksternal.

  Anda dapat menggunakan kit pengembangan perangkat lunak (SDK) Alibaba Cloud untuk memanggil operasi asumsi peran guna mengasumsikan Peran RAM. Untuk contoh kode, lihat dokumentasi SDK terkait, seperti Menggunakan Pasangan AccessKey dan RamRoleArn untuk mendapatkan token STS (Python SDK).

Untuk memverifikasi bahwa token STS berfungsi, gunakan token tersebut untuk memanggil operasi GetCallerIdentity STS. Respons berisi ARN dari peran yang diasumsikan.

Mengasumsikan Peran RAM menggunakan Alibaba Cloud CLI

Contoh berikut menunjukkan cara menggunakan Alibaba Cloud CLI untuk mengasumsikan Peran RAM admin-role dan menyelesaikan tugas manajemen sebagai peran tersebut.

1. Konfigurasikan kredensial identitas untuk Alibaba Cloud CLI. Contoh ini menggunakan mode RamRoleArn, yang menggunakan Pasangan AccessKey Pengguna RAM sebagai metode autentikasi untuk menyelesaikan asumsi peran.

   aliyun configure --profile RamRoleArnProfile --mode RamRoleArn

2. Sesuai prompt, masukkan ID AccessKey, Rahasia AccessKey, ARN peran yang ingin Anda asumsikan, nama sesi peran, dan informasi lainnya. Untuk informasi lebih lanjut tentang parameter dan penggunaan, lihat Mengonfigurasi kredensial untuk Alibaba Cloud CLI.

   Configuring profile 'RamRoleArnProfile' in 'RamRoleArn' authenticate mode...
   Access Key Id []: <yourAccessKeyID>
   Access Key Secret []: <yourAccessKeySecret>
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/admin-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] en: en
   Saving profile[RamRoleArnProfile] ...Done.

   Expired Seconds mempertahankan nilai default 900 detik (15 menit) yang ditampilkan dalam prompt CLI. Nilai ini berbeda dari nilai default (3.600 detik) parameter DurationSeconds operasi AssumeRole*.

3. Setelah autentikasi selesai, jalankan perintah yang diperlukan dengan profil tersebut. Identitas yang digunakan untuk menjalankan perintah adalah Peran RAM yang diasumsikan admin-role, bukan Pengguna RAM pemilik Pasangan AccessKey.

   aliyun ram ListUsers --profile RamRoleArnProfile

   aliyun sts GetCallerIdentity --profile RamRoleArnProfile. Respons berisi ARN dari peran yang diasumsikan.
   Untuk mengasumsikan Peran RAM lain sebagai peran yang telah diasumsikan, lihat Rantai peran.