Resource Access Management：Gunakan SourceIdentity untuk pelacakan asumsi peran dan kontrol akses

Persyaratan format

• Nilai harus terdiri dari 2 hingga 64 karakter.

• Nilai dapat berisi huruf, angka, dan karakter khusus berikut: =, ,, ., @, -, dan _.

• Nilai tidak boleh menggunakan awalan yang dicadangkan oleh Alibaba Cloud, seperti acs:, aliyun:, atau alibabacloud:.

Operasi izin

Contoh konfigurasi operasi izin

Untuk mengizinkan suatu identitas, seperti pengguna RAM atau peran RAM, menetapkan SourceIdentity saat memanggil AssumeRole, Anda harus memberikan izin sts:SetSourceIdentity baik dalam kebijakan akses berbasis identitas pihak yang berwenang maupun dalam kebijakan kepercayaan peran peran target. Tambahkan sts:SetSourceIdentity ke blok Action.

• Contoh kebijakan akses berbasis identitas (diberikan kepada pihak yang berwenang):

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_ID:role/TARGET_ROLE"
      }
    ]
  }

• Contoh kebijakan kepercayaan peran (dikonfigurasi untuk peran yang diasumsikan):

  {
    "Statement": [
      {
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Effect": "Allow",
        "Principal": {
          "RAM": [
            "acs:ram::ACCOUNT_ID:root"
          ]
        }
      }
    ],
    "Version": "1"
  }

Contoh konfigurasi operasi izin untuk skenario SSO berbasis peran

Saat mengasumsikan peran dengan memanggil operasi AssumeRoleWithSAML atau AssumeRoleWithOIDC, Anda hanya perlu memberikan izin sts:SetSourceIdentity dalam kebijakan kepercayaan peran peran target. Contoh berikut menunjukkan kebijakan untuk SSO berbasis peran SAML:

{
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity"
      ],
      "Condition": {
        "StringEquals": {
          "saml:recipient": [
            "https://signin.aliyun.com/saml-role/sso"
          ]
        }
      },
      "Effect": "Allow",
      "Principal": {
        "Federated": [
          "acs:ram::ACCOUNT_ID:saml-provider/PROVIDER_NAME"
        ]
      }
    }
  ],
  "Version": "1"
}

Kunci kondisi

Perbedaan antara kunci kondisi sts:SourceIdentity dan acs:SourceIdentity adalah sebagai berikut:

• sts:SourceIdentity mencocokkan atribut SourceIdentity dalam permintaan asumsi peran.

• acs:SourceIdentity mencocokkan atribut SourceIdentity yang ada dalam sesi peran, termasuk token STS, setelah peran berhasil diasumsikan.

Jika Anda mengasumsikan peran untuk pertama kalinya, Anda harus mengonfigurasi kunci kondisi sts:SourceIdentity dalam kebijakan, termasuk kebijakan akses berbasis identitas dan kebijakan kepercayaan peran. Karena sesi peran yang valid belum dihasilkan, penggunaan kunci kondisi acs:SourceIdentity akan menyebabkan asumsi peran gagal.

Contoh kontrol kondisi

Dengan menggunakan kunci kondisi sts:SourceIdentity dalam blok Condition kebijakan, Anda dapat mewajibkan nilai SourceIdentity tertentu harus dilewatkan saat mengasumsikan peran. Anda dapat mengonfigurasi kondisi dalam satu atau kedua jenis kebijakan berikut:

• Tetapkan kondisi dalam kebijakan akses berbasis identitas: Batasi identitas agar hanya dapat menetapkan nilai SourceIdentity tertentu saat mengasumsikan peran tertentu.

• Tetapkan kondisi dalam kebijakan kepercayaan peran: Batasi semua identitas agar hanya dapat menetapkan nilai SourceIdentity tertentu saat mengasumsikan peran tersebut.

Perhatikan bahwa Anda juga harus menambahkan izin sts:SetSourceIdentity ke blok Action kebijakan. Jika tidak, fitur kontrol kondisi tidak akan berfungsi.

Asumsikan terdapat peran RAM berhak istimewa tinggi untuk lingkungan produksi bernama prod-role. Administrator perlu menerapkan kontrol berikut:

1. Hanya pengguna RAM Alice dan Bob yang dapat mengasumsikan prod-role.

2. Saat mengasumsikan prod-role, SourceIdentity harus ditetapkan, dan nilainya harus sesuai dengan username pihak yang berwenang. Misalnya, saat Alice mengasumsikan peran, nilainya dapat diatur menjadi alice atau alice@exampledomain.com.

Langkah 1: Konfigurasikan kebijakan kepercayaan peran untuk prod-role

Kebijakan ini memastikan hanya Alice dan Bob yang dapat mengasumsikan peran ini, dan permintaan harus berisi nilai SourceIdentity yang diawali dengan alice atau bob.

{
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity"
      ],
      "Condition": {
        "StringLike": {
          "sts:SourceIdentity": [
            "alice*",
            "bob*"
          ]
        }
      },
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::ACCOUNT_ID:user/alice",
          "acs:ram::ACCOUNT_ID:user/bob"
        ]
      }
    }
  ],
  "Version": "1"
}

Langkah 2: Konfigurasikan kebijakan akses berbasis identitas untuk Alice dan Bob

Kebijakan berikut memberikan izin kepada Alice dan Bob untuk mengasumsikan prod-role dan mewajibkan mereka menetapkan nilai SourceIdentity yang sesuai dengan username masing-masing dalam permintaan.

• Kebijakan akses berbasis identitas Alice

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_ID:role/prod-role",
        "Condition": {
          "StringLike": {
            "sts:SourceIdentity": [
              "alice*"
            ]
          }
        }
      }
    ]
  }

• Kebijakan akses berbasis identitas Bob

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_ID:role/prod-role",
        "Condition": {
          "StringLike": {
            "sts:SourceIdentity": [
              "bob*"
            ]
          }
        }
      }
    ]
  }

{
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity"
      ],
      "Condition": {
        "StringEquals": {
          "saml:recipient": [
            "https://signin.aliyun.com/saml-role/sso"
          ],
          "sts:SourceIdentity": [
            "employeeid-alice",
            "employeeid-bob"
          ]
        }
      },
      "Effect": "Allow",
      "Principal": {
        "Federated": [
          "acs:ram::ACCOUNT_ID:saml-provider/PROVIDER_NAME"
        ]
      }
    }
  ],
  "Version": "1"
}

Deskripsi skenario

Alat otomatisasi Continuous Integration/Continuous Deployment (CI/CD), seperti Jenkins, dijalankan menggunakan peran RAM automation-role. Peran ini dapat diasumsikan oleh developer, seperti Alice dan Bob.

Seorang developer, seperti Alice, menggunakan alat tersebut untuk menerapkan aplikasi ke bucket OSS di lingkungan produksi. Operasi penerapan memerlukan asumsi peran berhak istimewa lebih tinggi, deploy-role, yang memiliki izin tulis pada bucket OSS.

Alice, Bob, dan automation-role berada di Akun Alibaba Cloud A. deploy-role berada di Akun Alibaba Cloud B.

Persyaratan bisnis dan alur kerja

automation-role hanya dapat berhasil mengasumsikan deploy-role jika pemanggil awal adalah Alice. Permintaan panggilan dari pengguna lain, seperti Bob, harus ditolak.

Alur kerjanya adalah sebagai berikut:

1. Alice memanggil operasi AssumeRole untuk mengasumsikan automation-role dan menetapkan SourceIdentity ke alice dalam permintaan.

2. Setelah automation-role mendapatkan token STS, peran tersebut memanggil operasi AssumeRole lagi untuk mengasumsikan deploy-role. Nilai SourceIdentity diteruskan secara otomatis.

3. Kebijakan kepercayaan deploy-role memeriksa apakah SourceIdentity masuk bernilai alice. Jika verifikasi berhasil, asumsi peran diizinkan.

Langkah-langkah konfigurasi kebijakan

Langkah 1: Ubah kebijakan kepercayaan deploy-role

Kebijakan ini hanya mempercayai permintaan asumsi peran dari peran automation-role di akun A dan mewajibkan nilai SourceIdentity harus berupa alice.

{
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity"
      ],
      "Condition": {
        "StringEquals": {
          "acs:SourceIdentity": [
            "alice"
          ]
        }
      },
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::ACCOUNT_A_ID:role/automation-role"
        ]
      }
    }
  ],
  "Version": "1"
}

Langkah 2: Modifikasi kebijakan akses dan kebijakan kepercayaan automation-role

• Kebijakan akses: Mengizinkan peran automation-role untuk mengasumsikan peran deploy-role di akun B.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_B_ID:role/deploy-role"
      }
    ]
  }

• Kebijakan kepercayaan: Mengizinkan Alice dan Bob untuk mengasumsikan automation-role.

  {
    "Statement": [
      {
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Effect": "Allow",
        "Principal": {
          "RAM": [
            "acs:ram::ACCOUNT_A_ID:user/alice",
            "acs:ram::ACCOUNT_A_ID:user/bob"
          ]
        }
      }
    ],
    "Version": "1"
  }

Langkah 3: Modifikasi kebijakan akses berbasis identitas untuk Alice dan Bob

Izinkan mereka mengasumsikan peran automation-role dan mewajibkan mereka menetapkan nilai SourceIdentity yang persis sesuai dengan username masing-masing.

• Kebijakan akses berbasis identitas Alice

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_A_ID:role/automation-role",
        "Condition": {
          "StringEquals": {
            "sts:SourceIdentity": [
              "alice"
            ]
          }
        }
      }
    ]
  }

• Kebijakan akses berbasis identitas Bob

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "sts:AssumeRole",
          "sts:SetSourceIdentity"
        ],
        "Resource": "acs:ram::ACCOUNT_A_ID:role/automation-role",
        "Condition": {
          "StringEquals": {
            "sts:SourceIdentity": [
              "bob"
            ]
          }
        }
      }
    ]
  }

Skenario 1: Masalah yang disebabkan oleh kebijakan akses berbasis identitas

Pesan error:

{
  "RequestId": "AC9DDEC1-3E1F-50B8-A2D1-BAA155FD****",
  "Code": "NoPermission",
  "Message": "You are not authorized to do this action. You should be authorized by RAM.",
  "AccessDeniedDetail": {
    "PolicyType": "AccountLevelIdentityBasedPolicy",
    "AuthAction": "sts:SetSourceIdentity",
    ...
  }
}

Analisis penyebab:

• "PolicyType": "AccountLevelIdentityBasedPolicy" menunjukkan bahwa error disebabkan oleh kebijakan akses berbasis identitas pemanggil.

• "AuthAction": "sts:SetSourceIdentity" menunjukkan bahwa izin untuk operasi sts:SetSourceIdentity tidak tersedia.

Solusi: Hubungi administrator untuk memeriksa kebijakan akses berbasis identitas pemanggil dan pastikan hal-hal berikut:

1. Kebijakan mencakup "Action": "sts:SetSourceIdentity".

2. Cakupan Resource kebijakan mencakup peran target yang ingin diasumsikan.

3. Jika kebijakan berisi blok Condition, pastikan nilai SourceIdentity dalam permintaan memenuhi kondisi tersebut.

Skenario 2: Masalah yang disebabkan oleh kebijakan kepercayaan peran

Pesan error:

{
  "RequestId": "ECC91EE1-0EB0-5E79-B3F5-E54FD8B9****",
  "Code": "NoPermission",
  "Message": "You are not authorized to do this action. You should be authorized by RAM.",
  "AccessDeniedDetail": {
    "PolicyType": "AssumeRolePolicy",
    "AuthAction": "sts:SetSourceIdentity",
    ...
  }
}

Analisis penyebab:

• "PolicyType": "AssumeRolePolicy" menunjukkan bahwa error disebabkan oleh kebijakan kepercayaan peran peran target.

• "AuthAction": "sts:SetSourceIdentity" menunjukkan bahwa peran target tidak mempercayai operasi sts:SetSourceIdentity.

Solusi: Hubungi administrator untuk memeriksa kebijakan kepercayaan peran target dan pastikan hal-hal berikut:

1. Kebijakan mencakup "Action": "sts:SetSourceIdentity".

2. Jika kebijakan berisi blok Condition, pastikan nilai SourceIdentity dalam permintaan memenuhi kondisi tersebut.

Rekomendasi troubleshooting umum

1. Persempit cakupan: Jika Anda mengalami masalah izin saat menetapkan SourceIdentity, pertama-tama coba hapus parameter SourceIdentity dan asumsikan peran lagi. Jika operasi berhasil, masalah kemungkinan besar terkait konfigurasi izin untuk SourceIdentity.

2. Analisis error: Baca dengan cermat bagian AccessDeniedDetail dalam pesan error, terutama bidang PolicyType. Hal ini membantu Anda dengan cepat menentukan apakah masalah disebabkan oleh kebijakan akses berbasis identitas atau kebijakan kepercayaan peran.

3. Gunakan alat diagnostik: Jika Anda hanya memiliki RequestId, gunakan alat OpenAPI Troubleshoot. Masukkan RequestId, dan sistem akan mengembalikan informasi diagnostik terperinci untuk membantu Anda menemukan masalah izin. Contohnya:

   

4. Bandingkan kebijakan dan permintaan: Setelah menemukan kebijakan spesifik, periksa dengan cermat pengaturan Resource dan Condition. Pastikan pengaturan tersebut sesuai dengan parameter dalam permintaan API, seperti ARN peran target dan nilai SourceIdentity.

Untuk informasi lebih lanjut tentang cara melakukan troubleshooting masalah izin, lihat Cara melakukan troubleshooting error akses akibat izin tidak mencukupi.