Resource Access Management:RAM role overview

O que é uma função do RAM?

Uma função do RAM é um tipo de identidade do RAM com políticas anexadas. Ao contrário de um usuário do RAM, a função não está vinculada a uma única pessoa ou aplicativo — qualquer entidade confiável pode assumi-la. As funções não possuem credenciais de longo prazo, como senhas ou pares de AccessKey. Quando uma entidade assume uma função, o Security Token Service (STS) gera credenciais de segurança temporárias válidas apenas para aquela sessão.

Cada função do RAM é um recurso na sua conta com um Alibaba Cloud Resource Name (ARN) exclusivo: acs:ram::<account-id>:role/<role-name>, usado para referenciar a função em políticas ou chamadas de API. Para encontrar o ARN de uma função, consulte View a RAM role.

Por que usar funções do RAM

Em comparação com o acesso direto aos recursos em cloud como um usuário do RAM, assumir uma função do RAM oferece maior flexibilidade e segurança:

• Privilégios elevados temporários: Conceda permissões elevadas a uma entidade para uma tarefa específica, sem a necessidade de manter credenciais de alto privilégio de longo prazo.

• Acesso a recursos entre contas: Permita que entidades de uma conta acessem recursos de outra, viabilizando o gerenciamento centralizado sem identidades duplicadas.

• Acesso seguro a serviços e aplicativos: Aplicativos em uma instância do Elastic Compute Service (ECS) ou em outros serviços assumem uma função por meio de AssumeRole para obter credenciais temporárias, eliminando pares de AccessKey incorporados no código do aplicativo.

Conceitos principais

Compreenda estes conceitos antes de trabalhar com funções do RAM.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::123456789012****:root"
        ]
      }
    }
  ],
  "Version": "1"
}

Sessão de função

Quando uma entidade assume uma função, ela inicia uma sessão de função. As credenciais temporárias do STS estão vinculadas a essa sessão, e todas as ações executadas com elas são atribuídas à sessão.

Uma sessão de função possui:

1. Nome da sessão (RoleSessionName): Um identificador de sessão fornecido pelo usuário que aparece nos logs do ActionTrail, permitindo rastrear as ações até a entidade que assumiu a função.

2. Duração da sessão: Um ciclo de vida fixo; as credenciais expiram quando a sessão termina.

Encadeamento de funções

O encadeamento de funções ocorre quando uma função é usada para assumir outra função. Por exemplo, um usuário do RAM assume a Função A e, em seguida, usa seu token do STS para assumir a Função B. As funções podem estar na mesma conta ou em contas diferentes.

Esse padrão é comum em ambientes com várias contas. Por exemplo, um desenvolvedor usa federação em uma conta de salto central (Função A) e, depois, assume uma função privilegiada (Função B) em uma conta de produção para executar uma tarefa específica.

Encadeie funções usando a CLI da Alibaba Cloud, SDKs ou o console. Usar encadeamento de funções.

Diferenças entre funções do RAM e usuários do RAM

Funções e usuários são identidades do RAM, mas servem a propósitos diferentes.

Para consultar as limitações das funções do RAM, consulte Limits.

Casos de uso

• Concessão de privilégios elevados temporários

  Um desenvolvedor com permissões limitadas no dia a dia assume uma função com privilégios administrativos para executar uma operação sensível, como modifique um banco de dados de produção. Após a tarefa, os privilégios retornam ao conjunto limitado, aplicando o princípio do menor privilégio.

  Métodos para assumir uma função do RAM.

• Delegação de acesso entre contas

  Uma organização possui contas separadas da Alibaba Cloud para desenvolvimento (Conta A) e produção (Conta B). Para permitir que um pipeline de CI/CD executado na Conta A implante um aplicativo no ECS na Conta B, faça o seguinte:

  1. crie uma função na Conta B que confie na Conta A.

  2. Conceda à função do serviço de CI/CD na Conta A permissão para assumir essa função na Conta B.

  3. O pipeline de CI/CD assume a função na Conta B para obter credenciais para implantar o aplicativo.

  Acesso a recursos entre contas.

• Concessão de acesso a serviços da Alibaba Cloud

  Um aplicativo em uma instância do ECS precisa ler dados de um bucket do OSS. Em vez de incorporar um par de AccessKey, crie uma função de serviço com permissões de leitura e anexe-a à instância. O aplicativo usa as credenciais temporárias fornecidas automaticamente para acessar o OSS.

  Para obter mais informações, consulte Funções do RAM de instância.

• Concessão de acesso para usuários federados

  Sua empresa usa um IdP externo (como Microsoft Entra ID ou Okta). Configure a federação de identidade com SAML 2.0 ou OIDC e crie uma função do RAM que confie no IdP. Usuários autenticados assumem a função para acessar a Alibaba Cloud, viabilizando o gerenciamento centralizado de usuários sem a necessidade de usuários individuais do RAM.

  Visão geral do SSO baseado em função usando SAML e Visão geral do SSO baseado em função usando OIDC.

Referências

• Limites

• Funções vinculadas a serviço

• Visão geral da política de acesso

• Visão geral do SSO baseado em função usando SAML

• Funções do RAM para instâncias do ECS

• Acessar a Alibaba Cloud a partir de um aplicativo móvel usando um token do STS