Resource Access Management:Assume a RAM role

Como funciona

O Security Token Service (STS) da Alibaba Cloud intermedia a assunção de função nas etapas a seguir:

1. Solicitar credenciais. Um principal (como a usuária do RAM Alice) faz uma solicitação AssumeRole ao STS e especifica o ARN da função a ser assumida (como prod-role).

2. Verificar permissões. O RAM verifica dois pontos: (a) se Alice tem a permissão sts:AssumeRole em suas políticas de acesso; (b) se a política de confiança de prod-role especifica Alice (ou sua conta) como principal confiável.

3. Obter uma credencial temporária. Se ambas as verificações forem aprovadas, o STS retorna uma credencial de segurança temporária (token STS).

4. Fazer uma solicitação. O principal usa o token STS para solicitar um serviço da Alibaba Cloud, como o OSS. O serviço autoriza a solicitação com base nas políticas de acesso anexadas a prod-role.

Métodos para assumir uma função

Um principal pode assumir uma função das seguintes formas:

• Troca de funções no console: Um usuário do RAM autenticado pode trocar sua identidade atual por uma função do RAM para executar tarefas no Console de Gerenciamento da Alibaba Cloud.

• Acesso programático (API/CLI/SDK): Uma aplicação ou script pode chamar uma operação de API (como AssumeRole e AssumeRoleWithSAML) para obter credenciais temporárias para uma função do RAM. A CLI e os SDKs da Alibaba Cloud simplificam esse processo.

• Federação de identidade (SAML/OIDC): Usuários de um provedor de identidade externo (IdP) podem receber acesso para assumir uma função do RAM, permitindo logon único (SSO) no console ou acesso federado à API. SSO baseado em função.

• Funções de serviço para recursos da Alibaba Cloud: Um serviço da Alibaba Cloud (como ECS ou Function Compute) pode assumir uma função do RAM para acessar outros recursos em seu nome. Aplicações na Alibaba Cloud acessando recursos da Alibaba Cloud.

As seções a seguir abordam a assunção de função via console, CLI e API.

Acesso entre contas

Uma função do RAM permite que principais em uma conta acessem recursos em outra.

Isso requer:

• A política de confiança da função do RAM na conta de destino deve especificar a conta de source (ou um principal específico nela) como principal confiável.

• O principal na conta de source deve ter a permissão sts:AssumeRole em sua política de acesso.

Acessar recursos entre contas da Alibaba Cloud.

Encadeamento de funções

O encadeamento de funções usa as credenciais de uma função assumida para assumir uma segunda função. Por exemplo, um usuário assume a Função-A e depois usa as credenciais temporárias da Função-A para assumir a Função-B.

A Função-A deve ter uma política de acesso permitindo sts:AssumeRole na Função-B, e a política de confiança da Função-B deve listar a Função-A como principal confiável.

O exemplo a seguir configura o encadeamento de funções com a CLI:

1. Configure um perfil da CLI (como RamRoleArnProfile) para assumir a função inicial (como admin-role) na cadeia. Para instruções, consulte a seção "Assumir uma função do RAM com a CLI" neste tópico.

2. Conceda à função de source permissão para assumir outras funções. Por exemplo, anexe a política AliyunSTSAssumeRoleAccess à função de source.

3. Crie a função de destino (como target-role) e configure sua política de confiança para confiar na função de source.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<ACCOUNT_ID>:role/admin-role"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. Configure um novo perfil da CLI usando o modo ChainableRamRoleArn.

   aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

5. No prompt, especifique o nome do perfil de source (RamRoleArnProfile) e o ARN da função de destino.

   Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
   Source Profile []: RamRoleArnProfile
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/target-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] zh: en
   Saving profile[ChainableProfile] ...Done.

6. Use o novo perfil encadeado para executar um comando. O comando é executado com as permissões da última função na cadeia. Verifique isso chamando sts GetCallerIdentity.

   aliyun sts GetCallerIdentity

Como permitir que um usuário do RAM assuma apenas uma função específica?

Em vez de anexar AliyunSTSAssumeRoleAccess, crie uma política personalizada com Action definido como sts:AssumeRole e o ARN da função específica no elemento Resource. Consulte a seção "Como restringir um usuário do RAM específico de assumir uma função do RAM específica?" em FAQ sobre funções do RAM e tokens STS.

O proprietário da conta da Alibaba Cloud pode assumir uma função do RAM?

Não. O proprietário da conta da Alibaba Cloud não pode assumir uma função do RAM. A assunção de função destina-se a usuários do RAM, funções e usuários federados.

O que fazer se as credenciais temporárias de uma função do RAM forem expostas?

Se as credenciais temporárias forem comprometidas, invalide imediatamente todos os tokens ativos para essa função. Consulte a seção "O que fazer se um token STS vazar?" em FAQ sobre funções do RAM e tokens STS.