Crie uma função do RAM para uma conta confiável da Alibaba Cloud - Resource Access Management: Central de Documentação do Alibaba Cloud

Funções do RAM com entidade confiável definida como conta da Alibaba Cloud permitem acesso entre contas e autorização temporária. Usuários ou funções do RAM da conta confiável podem assumir essa função para acessar seus recursos.

Procedimento

Faça logon no RAM console como administrador do RAM.
No painel de navegação à esquerda, escolha Identities > Roles.
Na página Roles, clique em Create Role.
Na página Create Role, defina Principal Type como Cloud Account, especifique os detalhes da conta da Alibaba Cloud e clique em OK.
- Current Account: selecione esta opção para permitir que todos os usuários e funções do RAM da conta atual da Alibaba Cloud assumam a função. Escolha Current Account.
- Other Account: use esta opção para permitir que usuários e funções do RAM de outra conta da Alibaba Cloud assumam a função. Selecione Other Account e insira o ID da outra conta da Alibaba Cloud (conta principal). Esse cenário destina-se principalmente ao acesso a recursos entre contas. Para mais informações, consulte Access resources across Alibaba Cloud accounts.Você encontra o ID da sua conta da Alibaba Cloud (conta principal) na página Security Settings.
(Opcional) Para restringir a função a usuários ou funções específicos do RAM, clique em Switch to Policy Editor para modificar a política de confiança.

O editor oferece dois modos: Visual Editor e JSON Editor. No exemplo a seguir, apenas o usuário do RAM Alice da conta atual da Alibaba Cloud (AccountID=1000719) pode assumir a função do RAM.
- Visual Editor
  
  Na seção Principal, adicione o usuário do RAM.
  
  Clique no link Edit ao lado de Cloud Account e insira o ID da conta confiável.
  
  Na caixa de diálogo Add Principal, selecione Current Account para Cloud Account e RAM user para Identity Type. Insira o nome de usuário desejado, como Alice, no campo User Name e clique em OK.
- JSON Editor
  
  No campo RAM do objeto Principal, insira o ARN completo do usuário do RAM.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::100******0719:user/Alice"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```
Na caixa de diálogo Create Role, insira um Role Name e clique em OK.

Próximas etapas

Conceda permissões à função do RAM.

Uma nova função do RAM não possui permissões por padrão. Conceda permissões à função antes de utilizá-la. Para obter instruções, consulte Gerencie permissões para uma função do RAM.
Utilize a função do RAM.

Um principal na conta confiável pode assumir essa função pelo console ou chamando uma API para obter um token de segurança temporário (token STS) e, em seguida, acessar seus recursos autorizados. Para instruções detalhadas, consulte Assume a RAM role.