Resource Access Management:Ikhtisar peran RAM

Apa itu peran RAM?

Peran Resource Access Management (RAM) adalah identitas RAM yang dilengkapi kebijakan tertentu, mirip dengan pengguna RAM. Namun, peran tidak secara eksklusif dikaitkan dengan satu orang atau aplikasi tertentu. Sebaliknya, peran tersebut dapat diasumsikan oleh pihak tepercaya yang berwenang—seperti pengguna atau layanan lain—yang memerlukan izin tersebut. Peran tidak memiliki kredensial jangka panjang seperti kata sandi atau pasangan Kunci Akses (AccessKey pair). Ketika suatu principal mengasumsikan peran, Security Token Service (STS) akan menghasilkan kredensial keamanan sementara secara dinamis yang hanya berlaku untuk sesi tersebut.

Setiap peran RAM merupakan resource dalam akun Anda dengan Alibaba Cloud Resource Name (ARN) unik: acs:ram::<account-id>:role/<role-name>. Anda menggunakan ARN ini untuk mereferensikan peran dalam kebijakan atau panggilan API. Untuk mengetahui cara menemukan ARN suatu peran, lihat Lihat informasi tentang peran RAM.

Konsep utama

Pemahaman konsep-konsep berikut sangat penting untuk menggunakan peran RAM secara efektif.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::123456789012****:root"
        ]
      }
    }
  ],
  "Version": "1"
}

Sesi peran

Ketika suatu principal mengasumsikan peran, sesi peran dimulai. Kredensial sementara yang dikeluarkan oleh STS dikaitkan dengan sesi ini. Setiap tindakan yang dilakukan menggunakan kredensial tersebut dikaitkan dengan sesi peran tersebut.

Sesi peran memiliki:

1. Nama sesi (RoleSessionName): Identifikasi yang diberikan pengguna untuk sesi tersebut. Nama ini muncul dalam log ActionTrail sehingga Anda dapat melacak tindakan ke pengguna atau aplikasi yang mengasumsikan peran tersebut.

2. Durasi sesi: Siklus hidup tetap; kredensial kedaluwarsa saat sesi berakhir.

Rantai peran

Rantai peran terjadi ketika Anda menggunakan satu peran untuk mengasumsikan peran kedua. Misalnya, pengguna RAM mengasumsikan Peran A, lalu menggunakan token STS dari Peran A untuk mengasumsikan Peran B. Peran-peran tersebut dapat berada dalam akun yang sama atau berbeda.

Rantai peran umum digunakan dalam lingkungan multi-akun yang kompleks. Misalnya, developer melakukan federasi ke akun pusat "jump" (mengasumsikan Peran A), lalu dari situ mengasumsikan peran dengan hak istimewa lebih tinggi (Peran B) di akun produksi untuk menjalankan tugas tertentu.

Anda dapat merantai peran menggunakan Alibaba Cloud CLI, SDK, atau dengan beralih peran di Konsol. Untuk informasi selengkapnya, lihat Gunakan rantai peran.

Perbedaan antara peran RAM dan RAM user

Meskipun keduanya merupakan identitas RAM, peran dan pengguna memiliki tujuan yang berbeda. Tabel berikut menyoroti perbedaan utamanya.

Untuk batasan terkait peran RAM, lihat Batasan.

Kasus penggunaan

• Pemberian hak istimewa sementara yang ditingkatkan

  Seorang developer bekerja sehari-hari dengan pengguna RAM yang memiliki izin terbatas. Ketika perlu menjalankan operasi sensitif, seperti memodifikasi database produksi, mereka dapat mengasumsikan peran yang memberikan izin administratif yang diperlukan untuk tugas tersebut. Setelah tugas selesai, mereka berhenti menggunakan peran tersebut, dan hak istimewa mereka kembali ke set terbatas semula. Pendekatan ini mengikuti prinsip hak istimewa minimal.

  Untuk informasi selengkapnya, lihat Metode untuk mengasumsikan peran RAM.

• Delegasi akses antar-akun

  Sebuah organisasi memiliki akun Alibaba Cloud terpisah untuk pengembangan (Akun A) dan produksi (Akun B). Untuk memungkinkan pipeline CI/CD yang berjalan di Akun A men-deploy aplikasi ke ECS di Akun B, Anda dapat:

  1. Membuat peran di Akun B yang mempercayai Akun A.

  2. Memberikan izin kepada service role CI/CD di Akun A untuk mengasumsikan peran tersebut di Akun B.

  3. Pipeline CI/CD mengasumsikan peran di Akun B untuk memperoleh kredensial guna men-deploy aplikasi.

  Untuk informasi selengkapnya, lihat Akses resource cross-account.

• Pemberian akses ke layanan Alibaba Cloud

  Aplikasi yang berjalan pada instans ECS perlu membaca objek dari bucket OSS. Alih-alih menyematkan pasangan Kunci Akses (AccessKey pair) dalam aplikasi, Anda membuat service role untuk ECS yang memiliki izin baca ke bucket tersebut. Lalu, Anda melampirkan peran ini ke instans ECS. Aplikasi tersebut kemudian dapat menggunakan kredensial sementara yang disediakan secara otomatis untuk mengakses OSS secara aman.

  Untuk informasi selengkapnya, lihat Instance RAM roles.

• Pemberian akses bagi pengguna federasi

  Perusahaan Anda menggunakan IdP eksternal (seperti Microsoft Entra ID atau Okta). Untuk memungkinkan karyawan mengakses Konsol Alibaba Cloud, Anda dapat mengonfigurasi federasi identitas menggunakan SAML 2.0 atau OIDC dan membuat peran RAM yang mempercayai IdP tersebut. Saat pengguna login, IdP mengotentikasi mereka dan mereka mengasumsikan peran tersebut untuk mengakses Alibaba Cloud. Pendekatan ini memungkinkan Anda mengelola pengguna secara terpusat di IdP tanpa harus membuat pengguna RAM individual di Alibaba Cloud.

  Untuk informasi selengkapnya, lihat Ikhtisar SSO berbasis peran menggunakan SAML dan Ikhtisar SSO berbasis peran menggunakan OIDC.

Referensi

• Batasan

• Service-linked roles

• Ikhtisar kebijakan akses

• Ikhtisar SSO berbasis peran menggunakan SAML

• Peran RAM untuk instans ECS

• Gunakan token STS untuk memberikan akses aplikasi seluler ke resource Alibaba Cloud