Autorizar um usuário RAM da conta atual do Alibaba Cloud a usar assinatura server-side - IoT Platform: Central de Documentação do Alibaba Cloud

Use uma função do Resource Access Management (RAM) para autorizar um usuário RAM a receber mensagens de assinatura server-side do IoT Platform.

Informações básicas

O Security Token Service (STS) fornece credenciais temporárias para acessar recursos do Alibaba Cloud. O RAM oferece suporte a dois tipos de identidade: usuário RAM e função RAM.

A função RAM é uma identidade virtual à qual é possível anexar políticas. Funções RAM não possuem senhas de logon nem pares de AccessKey. Uma entidade confiável, como um usuário RAM, um serviço do Alibaba Cloud ou um provedor de identidade (IdP), deve assumir a função RAM. Após assumir a função, a entidade confiável obtém um token STS para acessar os recursos autorizados para essa função.

Para obter mais informações sobre os recursos e benefícios do STS, consulte O que é o STS?.

Nota

Também é possível autorizar diretamente um usuário RAM a acessar recursos do IoT Platform. No entanto, a autorização por meio de uma função RAM é mais segura, pois o acesso se restringe às permissões concedidas à função.

Para um usuário RAM autorizado diretamente, conceda a permissão de uso do recurso de assinatura server-side AMQP (iot:sub). Caso contrário, a conexão falhará. Para saber mais sobre como conceder permissões, consulte Autorização do RAM para o IoT Platform.

Etapa 1: Criar uma função RAM e conceder permissões à função RAM

Criar uma função RAM para uma conta confiável do Alibaba Cloud: Faça logon no console do RAM com sua conta do Alibaba Cloud e crie uma função RAM para a conta atual do Alibaba Cloud.

Na etapa Configure Role do assistente Create Role, selecione Current Alibaba Cloud Account no parâmetro Select Trusted Alibaba Cloud Account.
Criar uma política personalizada na aba JSON: Use sua conta do Alibaba Cloud para criar uma política personalizada.

Para conceder a permissão de uso da assinatura server-side, defina o parâmetro Action como iot:sub. O código a seguir mostra o conteúdo da política:
```
{
  "Statement": [
    {
      "Action": "iot:sub",
      "Effect": "Allow",
      "Resource": "*"
    }
  ],
  "Version": "1"
}
```
Conceder permissões à função RAM: Use sua conta do Alibaba Cloud para anexar a política personalizada criada na etapa anterior à função RAM.
Criar um usuário RAM: Acesse o console do RAM com sua conta do Alibaba Cloud e crie um usuário RAM.
Conceder permissões ao usuário RAM: Com sua conta do Alibaba Cloud, conceda a permissão AliyunSTSAssumeRoleAccess ao usuário RAM criado na etapa anterior. Assim, o usuário RAM poderá assumir a função RAM da sua conta do Alibaba Cloud.

Etapa 2: Receber mensagens de assinatura server-side AMQP como usuário RAM

Configurar uma assinatura server-side AMQP: Faça logon no console do IoT Platform com sua conta do Alibaba Cloud e configure uma assinatura server-side do Advanced Message Queuing Protocol (AMQP).
Configurar um cliente AMQP para receber mensagens de assinatura server-side: Conecte um cliente AMQP ao IoT Platform como o usuário RAM criado para receber mensagens de dispositivos do IoT Platform por meio do recurso de assinatura server-side.