Modifique a política de confiança de uma função RAM - Resource Access Management: Central de Documentação do Alibaba Cloud

Modifique a política de confiança de uma função RAM para alterar sua entidade principal para uma conta Alibaba Cloud, um service Alibaba Cloud ou um provedor de identidade (IdP).

Contexto

Ao criar uma função RAM, você especifica as entidades principais que podem assumi-la: uma conta Alibaba Cloud, um service Alibaba Cloud ou um provedor de identidade (IdP). Geralmente, não é necessário alterar a política de confiança após a criação, mas você pode modificá-la se precisar.

Aviso

Alterar a entidade principal na política de confiança de uma função RAM muda quem pode assumir a função e pode interromper seus services. Recomendamos fortemente testar as alterações em uma conta de teste para garantir o funcionamento esperado antes de aplicá-las em uma conta de produção.

Procedimento

Faça logon no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha Identities > Roles.
Na página Roles, clique em nome da função RAM desejada.
Na aba Trust Policy, clique em Edit Trust Policy.
No editor, modifique a política de confiança e clique em OK.

Exemplo 1: Alterar a entidade principal para uma conta Alibaba Cloud

Se o elemento Principal contiver um campo RAM, a entidade principal da função RAM será uma Alibaba Cloud Account. Usuários ou funções RAM pertencentes à conta Alibaba Cloud confiável podem assumir essa função.

Permitir que todos os usuários e funções RAM na conta Alibaba Cloud confiável assumam a função RAM

A política de confiança a seguir permite que qualquer usuário ou função RAM na conta Alibaba Cloud 123456789012**** assuma a função.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:root"
                ]
            }
        }
    ],
    "Version": "1"
}

Permitir que apenas um usuário específico do RAM na conta Alibaba Cloud confiável assuma a função RAM

O elemento Principal a seguir permite que apenas o usuário do RAM testuser na conta Alibaba Cloud 123456789012**** assuma a função.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:user/testuser"
                ]
            }                   
```
Nota
Ao modificar esta política de confiança, certifique-se de que o usuário do RAM correspondente testuser foi criado.
Permitir que apenas uma função específica do RAM na conta Alibaba Cloud confiável assuma a função RAM

O elemento Principal a seguir permite que apenas a função do RAM testrole na conta Alibaba Cloud 123456789012**** assuma a função.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:role/testrole"                
                ]
            }                                 
```
Nota
Ao modificar esta política de confiança, certifique-se de que a função do RAM testrole foi criada.

Exemplo 2: Alterar a entidade principal para um service Alibaba Cloud

Caso o elemento Principal contenha um campo Service, a entidade principal da função RAM será um Alibaba Cloud Service. Um service Alibaba Cloud confiável pode assumir essa função.

A política de confiança a seguir permite que o service ECS na conta Alibaba Cloud atual assuma a função.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ecs.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Nota

O service cloud associado define a política de confiança de uma função vinculada a service. Não é possível modificar a política de confiança desse tipo de função. Para mais informações, consulte Service-linked roles.

Exemplo 3: Alterar a entidade principal para um provedor de identidade (IdP)

Quando o elemento Principal inclui um campo Federated, a entidade principal da função RAM é um IdP. Usuários do provedor de identidade confiável podem assumir essa função.

No exemplo a seguir, usuários sob o provedor de identidade testprovider na conta Alibaba Cloud atual (AccountID=123456789012****) podem assumir a função RAM.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::123456789012****:saml-provider/testprovider"
                ]
            },
            "Condition":{
                "StringEquals":{
                    "saml:recipient":"https://signin.alibabacloud.com/saml-role/sso"
                }
            }
        }
    ],
    "Version": "1"
}