Autorizar um usuário RAM de outra conta a usar a assinatura do lado do servidor - IoT Platform: Central de Documentação do Alibaba Cloud

O IoT Platform oferece suporte à assinatura do lado do servidor entre contas por meio da autorização de função RAM. Ao criar uma função RAM e concedê-la a outra conta Alibaba Cloud, você permite que essa conta e seus usuários RAM acessem seus recursos de assinatura do lado do servidor.

Informações básicas

O Security Token Service (STS) fornece credenciais temporárias para acessar recursos da Alibaba Cloud. O RAM oferece suporte a dois tipos de identidade: usuário RAM e função RAM.

A função RAM é uma identidade virtual à qual é possível anexar políticas. Funções RAM não possuem senhas de logon ou pares de AccessKey. Uma entidade confiável, como um usuário RAM, um serviço Alibaba Cloud ou um provedor de identidade (IdP), deve assumir a função RAM. Após assumir a função RAM, a entidade confiável obtém um token STS para acessar os recursos autorizados para essa função.

Para obter mais informações sobre os recursos e benefícios do STS, consulte O que é o STS?

Cenário

A Empresa A usa sua conta Alibaba Cloud para ativar o IoT Platform e deseja autorizar a conta Alibaba Cloud da Empresa B a acessar os recursos de assinatura do lado do servidor.

Solução

A Empresa A precisa autorizar os funcionários da Empresa B a acessar seus recursos de assinatura do lado do servidor no IoT Platform. Neste tópico, Conta A refere-se à conta Alibaba Cloud da Empresa A e Conta B refere-se à conta Alibaba Cloud da Empresa B. Para autorizar a Conta B a acessar recursos pertencentes à Conta A, execute as etapas a seguir:

Etapa 1: Criar uma função RAM e conceder permissões à função RAM

A Empresa A utiliza a Conta A para criar uma função RAM, anexa a política relacionada à assinatura do lado do servidor à função RAM e permite que o usuário RAM pertencente à Conta B assuma essa função.
Etapa 2: Receber mensagens de assinatura do lado do servidor AMQP entre contas

Após a concessão das permissões, o usuário RAM da Conta B assume a função RAM da Conta A para obter as permissões necessárias.

Etapa 1: Criar uma função RAM e conceder permissões à função RAM

Criar uma função RAM para uma conta Alibaba Cloud confiável: A Empresa A usa a Conta A para fazer logon no RAM console e cria uma função RAM para a Conta B da Empresa B.

Na etapa Configure Role do assistente Create Role, selecione Other Alibaba Cloud Account no parâmetro Select Trusted Alibaba Cloud Account e insira o ID da Conta B.
Criar uma política personalizada na aba JSON: A Empresa A usa a Conta A para criar uma política personalizada.

Para conceder a permissão de uso da assinatura do lado do servidor, defina o parâmetro Action como iot:sub. O código a seguir mostra o conteúdo da política:
```
{
  "Statement": [
    {
      "Action": "iot:sub",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}
```
Conceder permissões à função RAM: A Empresa A usa a Conta A para anexar a política personalizada criada na etapa anterior à função RAM.
Criar um usuário RAM: A Empresa B usa a Conta B para fazer logon no RAM console e cria um usuário RAM.
Conceder permissões ao usuário RAM: A Empresa B usa a Conta B para conceder a permissão AliyunSTSAssumeRoleAccess ao usuário RAM criado na etapa anterior. Isso permite que o usuário RAM da Conta B assuma a função RAM da Conta A.

Etapa 2: Receber mensagens de assinatura do lado do servidor AMQP entre contas

Configurar uma assinatura do lado do servidor AMQP: A Empresa A usa a Conta A para fazer logon no IoT Platform console e configura uma assinatura do lado do servidor Advanced Message Queuing Protocol (AMQP).
Configurar um cliente AMQP para receber mensagens de assinatura do lado do servidor: A Empresa B conecta um cliente AMQP ao IoT Platform como o usuário RAM autorizado para receber mensagens de dispositivo da Empresa A por meio da assinatura do lado do servidor.