Resource Access Management:FAQ about RAM roles and STS tokens

Por que recebo o erro "You are not authorized..." ao chamar AssumeRole?

A chamada da operação AssumeRole pode retornar este erro:

Error message: You are not authorized to do this action. You should be authorized by RAM.

Causas possíveis:

• Você está chamando a operação com a conta Alibaba Cloud.

  Contas Alibaba Cloud não podem chamar a operação AssumeRole. Use um usuário ou uma função do RAM.

• A identidade da chamada não tem permissão para assumir a função.

  Anexe a política AliyunSTSAssumeRoleAccess ou uma política personalizada à identidade da chamada. A política personalizada deve permitir a ação sts:AssumeRole, conforme mostrado no Exemplo de política abaixo.

• A política de confiança da função não inclui a identidade da chamada como principal.

  Atualize a política de confiança da função de destino para permitir que a identidade da chamada a assuma. Para mais informações, consulte Modify the trust policy of a RAM role.

Quem pode chamar a operação de API AssumeRole?

Somente usuários ou funções do RAM podem chamar a operação AssumeRole para obter credenciais de segurança temporárias para uma função do RAM. Contas Alibaba Cloud não podem executar essa operação.

Quais são os tipos de funções do RAM e quem pode assumi-las?

O RAM oferece os seguintes tipos de função com base no principal:

Como impedir que um usuário específico do RAM assuma uma função específica do RAM?

1. Atualize a política de confiança da função do RAM.

   Na política de confiança da função do RAM, use o elemento Principal para especificar o usuário do RAM autorizado a assumir a função. Substitua <account-id> pelo ID da sua conta Alibaba Cloud e <user-name> pelo nome do usuário do RAM. Para mais informações, consulte Modify the trust policy of a RAM role.

   Exemplo de política:

   {
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Principal": {
                   "RAM": [
                       "acs:ram::<account-id>:user/<user-name>"
                   ]
               }
           }
       ],
       "Version": "1"
   }

2. Conceda permissão ao usuário do RAM para assumir a função.

   Anexe a política AliyunSTSAssumeRoleAccess ou uma política personalizada ao usuário do RAM. Uma política personalizada permite restringir quais funções o usuário pode assumir.

   Na política personalizada, use o elemento Resource para especificar o ARN da função do RAM que pode ser assumida. Substitua <account-id> pelo ID da sua conta Alibaba Cloud e <role-name> pelo nome da função do RAM. Para mais informações, consulte Create a custom policy e Manage RAM user permissions.

   Exemplo de política:

   {
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Resource": "acs:ram:*:<account-id>:role/<role-name>"
           }
       ],
       "Version": "1"
   }

Como visualizar o ARN de uma função do RAM?

1. Faça login no console do RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Clique em nome da função do RAM desejada.

4. Na seção Basic Information, localize e copie o ARN da função.

Existem limites de requisição de API para o STS?

A operação AssumeRole tem limite de 100 requisições por segundo por conta Alibaba Cloud (compartilhado entre todos os usuários e funções do RAM).

Se você exceder esse limite, o STS retorna uma das seguintes mensagens de erro:

• Mensagens de erro

  Código de erro	Mensagem de erro
  Throttling.Api	Request was denied due to api flow control.
  Throttling.User	Request was denied due to user flow control.
  Throttling	Request was denied due to flow control.

• Um código de status 302

Para resolver esses erros, reduza a taxa de requisições. Para solicitar uma cota maior, envie um ticket.

Quais são os limites de permissão de um token STS?

As permissões de um token STS correspondem à interseção entre as políticas baseadas em identidade da função e a política de sessão informada no parâmetro Policy da chamada AssumeRole.

Qual é a validade de um token STS?

Os tokens STS têm validade padrão de 3.600 segundos (1 hora). O intervalo válido varia de 900 segundos (15 minutos) até a duração máxima da sessão da função.

Vários tokens STS para a mesma função são válidos simultaneamente?

Sim. Cada token permanece válido até expirar. A criação de um novo token não invalida os existentes.

O que fazer se um token STS for comprometido?

Caso um token STS seja comprometido, invalide todos os tokens ativos dessa função removendo suas permissões ou excluindo a função:

1. Faça login no console do RAM.

2. Desanexe todas as políticas da função do RAM.

   Para mais informações, consulte Revoke permissions from a RAM role.

3. Ou exclua totalmente a função do RAM.

   Para mais informações, consulte Delete a RAM role.

   Essa ação invalida imediatamente todos os tokens STS não expirados dessa função.

Para voltar a usar a função posteriormente, crie uma nova função com o mesmo nome e as mesmas políticas.

Existe um tamanho máximo para um token STS?

Não. O tamanho do token é variável. Não presuma um tamanho máximo no seu código.