AssumeRoleWithSAML - Resource Access Management: Central de Documentação do Alibaba Cloud

Obtém as credenciais de identidade temporárias (token STS) para assumir uma função do RAM durante o SSO baseado em função SAML ao chamar a operação AssumeRoleWithSAML.

Descrição da operação

Antes de começar

Certifique-se de ter obtido uma resposta SAML de um provedor de identidade (IdP) externo.
Certifique-se de ter criado um IdP SAML no RAM. Para mais informações, consulte Criar um IdP SAML ou CreateSAMLProvider.
Certifique-se de ter criado uma função do RAM cuja entidade confiável seja um IdP SAML no RAM. Para mais informações, consulte Criar uma função do RAM para um IdP confiável ou CreateRole.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

Nenhuma autorização necessária para esta operação. Se você encontrar problemas com esta operação, entre em contato com o suporte técnico.

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
SAMLProviderArn	string	Não	O ARN do IdP SAML criado no RAM. Formato: `acs:ram::<account_id>:saml-provider/<saml_provider_id>`. Você pode visualizar o ARN do IdP no console do Resource Access Management (RAM) ou chamando operações de API: Console do Resource Access Management (RAM): Consulte Visualizar as informações básicas de um IdP SAML. API: Consulte GetSAMLProvider ou ListSAMLProviders.	acs:ram::123456789012****:saml-provider/company1
RoleArn	string	Não	O ARN da função do RAM a ser assumida. A entidade confiável desta função é um IdP SAML. Para mais informações, consulte Criar uma função do RAM para um IdP confiável ou CreateRole. Formato: `acs:ram::<account_id>:role/<role_name>`. Você pode visualizar o ARN da função no console do Resource Access Management (RAM) ou chamando operações de API: Console do Resource Access Management (RAM): Consulte Como visualizo o ARN de uma função do RAM?. API: Consulte ListRoles ou GetRole.	acs:ram::123456789012****:role/adminrole
SAMLAssertion	string	Não	A asserção SAML codificada em Base64. A asserção deve ter de 4 a 100.000 caracteres. Nota Você deve obter a resposta SAML completa do IdP. Um campo de asserção SAML separado não é suportado.	base64_encoded_saml_assertion
Policy	string	Não	Uma política de acesso adicional que é anexada ao token STS para restringir ainda mais as permissões do token STS. Regras: Se esta política for especificada, as permissões finais do token STS serão a interseção das permissões concedidas pela política da função do RAM e por esta política. Se esta política não for especificada, as permissões finais do token STS serão as permissões concedidas pela função do RAM. A política deve ter de 1 a 2.048 caracteres.	url_encoded_policy
DurationSeconds	integer	Não	O período de validade do token STS. Unidade: segundos. O período mínimo de validade é de 900 segundos, e o período máximo de validade é o valor de `MaxSessionDuration`. O valor padrão é 3.600 segundos. Você pode chamar a operação CreateRole ou UpdateRole para definir a duração máxima da sessão (`MaxSessionDuration`) para a função. Para mais informações, consulte CreateRole ou UpdateRole.	3600

Nota

Como a operação AssumeRoleWithSAML usa asserções SAML para autenticação e suporta acesso anônimo, você não precisa fornecer os parâmetros de solicitação comuns Signature, SignatureMethod, SignatureVersion e AccessKeyId. Para mais informações sobre os parâmetros de solicitação comuns, consulte Parâmetros de solicitação comuns.

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object	Os elementos da resposta.
RequestId	string	O ID da solicitação.	6894B13B-6D71-4EF5-88FA-F32781734A7F
SAMLAssertionInfo	object	As informações parciais na asserção SAML.
SubjectType	string	O formato de `NameID` na asserção SAML. Se o prefixo for `urn:oasis:names:tc:SAML:2.0:nameid-format:`, o prefixo será removido. Exemplo: `persistent/transient`.	persistent
Subject	string	O valor do campo `Subject - NameID` na asserção SAML.	alice@example.com
Issuer	string	O valor do campo `Issuer` na asserção SAML.	http://example.com/adfs/services/trust
Recipient	string	O valor do atributo `Recipient` no campo `Subject - SubjectConfirmation - SubjectConfirmationData` da asserção SAML.	https://signin.alibabacloud.com/saml-role/SSO
AssumedRoleUser	object	A identidade temporária para a assunção de função.
AssumedRoleId	string	O ID da identidade temporária.	34458433936495****:alice
Arn	string	O ARN da identidade temporária.	acs:sts::123456789012****:assumed-role/AdminRole/alice
Credentials	object	As credenciais de acesso.
SecurityToken	string	O token de segurança. Nota O comprimento do token de segurança não é fixo. Recomendamos fortemente que você não limite o comprimento máximo do token de segurança.	********
Expiration	string	A hora de expiração do token STS em UTC.	2015-04-09T11:52:19Z
AccessKeySecret	string	O AccessKey secret.	wyLTSmsyPGP1ohvvw8xYgB29dlGI8KMiH2pK****
AccessKeyId	string	O AccessKey ID.	STS.L4aBSCSJVMuKg5U1****
SourceIdentity	string	As informações de identidade de origem. Ao assumir uma função, você pode especificar a identidade de origem do ator como o identificador de identidade inicial para a sessão. O valor da identidade de origem persiste ao longo das sessões encadeadas de assunção contínua de função e não pode ser alterado no meio do caminho. Isso garante a rastreabilidade e a segurança das operações. Se a identidade de origem não for especificada, este campo não será retornado.	Alice

Exemplos

Resposta de sucesso

JSON formato

{
  "RequestId": "6894B13B-6D71-4EF5-88FA-F32781734A7F",
  "SAMLAssertionInfo": {
    "SubjectType": "persistent",
    "Subject": "alice@example.com",
    "Issuer": "http://example.com/adfs/services/trust",
    "Recipient": "https://signin.alibabacloud.com/saml-role/SSO"
  },
  "AssumedRoleUser": {
    "AssumedRoleId": "34458433936495****:alice",
    "Arn": "acs:sts::123456789012****:assumed-role/AdminRole/alice"
  },
  "Credentials": {
    "SecurityToken": "********",
    "Expiration": "2015-04-09T11:52:19Z",
    "AccessKeySecret": "wyLTSmsyPGP1ohvvw8xYgB29dlGI8KMiH2pK****",
    "AccessKeyId": "STS.L4aBSCSJVMuKg5U1****"
  },
  "SourceIdentity": "Alice"
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro	Descrição
500	InternalError	STS Server Internal Error happened, please send the RequestId to us.	Ocorreu um erro interno.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.