Resource Access Management:Visão geral da função do RAM

O que é uma função do RAM?

A função do RAM é um tipo de identidade do RAM com políticas anexadas. Ao contrário do usuário do RAM, a função não se vincula a uma única pessoa ou aplicação: qualquer principal confiável pode assumi-la. Funções não possuem credenciais de longo prazo, como senhas ou pares de AccessKey. Quando um principal assume uma função, o Security Token Service (STS) gera credenciais de segurança temporárias válidas apenas para aquela sessão.

Cada função do RAM é um recurso em sua conta com um Alibaba Cloud Resource Name (ARN) exclusivo: acs:ram::<account-id>:role/<role-name>. Use esse ARN para referenciar a função em políticas ou chamadas de API. Para encontrar o ARN de uma função, consulte Visualizar uma função do RAM.

Conceitos-chave

Compreenda estes conceitos antes de trabalhar com funções do RAM.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": [
          "acs:ram::123456789012****:root"
        ]
      }
    }
  ],
  "Version": "1"
}

Sessão de função

Quando um principal assume uma função, ele inicia uma sessão de função. As credenciais temporárias do STS se vinculam a essa sessão. Todas as ações executadas com essas credenciais são atribuídas à sessão.

Uma sessão de função possui:

1. Nome da sessão (RoleSessionName): Identificador de sessão fornecido pelo usuário. Ele aparece nos logs do ActionTrail e permite rastrear ações até o principal que assumiu a função.

2. Duração da sessão: Ciclo de vida fixo. As credenciais expiram quando a sessão termina.

Encadeamento de funções

O encadeamento de funções ocorre quando uma função é usada para assumir outra. Por exemplo, um usuário do RAM assume a Função A e depois usa seu token STS para assumir a Função B. As funções podem estar na mesma conta ou em contas diferentes.

Esse padrão é comum em ambientes com múltiplas contas. Por exemplo, um desenvolvedor se federa em uma conta central de salto (Função A) e depois assume uma função privilegiada (Função B) em uma conta de produção para executar uma tarefa específica.

Encadeie funções usando a CLI da Alibaba Cloud, SDKs ou o console. Usar encadeamento de funções.

Diferenças entre funções do RAM e usuários do RAM

Funções e usuários são identidades do RAM, mas atendem a propósitos diferentes.

Para limitações das funções do RAM, consulte Limitações.

Casos de uso

• Concessão de privilégios elevados temporários

  Um desenvolvedor com permissões limitadas no dia a dia assume uma função com privilégios administrativos para realizar uma operação sensível, como modificar um banco de dados de produção. Após a tarefa, os privilégios retornam ao conjunto limitado. Isso aplica o princípio do menor privilégio.

  Métodos para assumir uma função do RAM.

• Delegação de acesso entre contas

  Uma organização possui contas separadas da Alibaba Cloud para desenvolvimento (Conta A) e produção (Conta B). Para permitir que um pipeline de CI/CD executado na Conta A implante uma aplicação no ECS da Conta B, siga estas etapas:

  1. Crie uma função na Conta B que confie na Conta A.

  2. Conceda à função de serviço de CI/CD na Conta A permissão para assumir essa função na Conta B.

  3. O pipeline de CI/CD assume a função na Conta B para obter credenciais e implantar a aplicação.

  Acesso a recursos entre contas.

• Concessão de acesso a serviços da Alibaba Cloud

  Uma aplicação em uma instância do ECS precisa ler dados de um bucket do OSS. Em vez de incorporar um par de AccessKey, crie uma função de serviço com permissões de leitura e anexe-a à instância. A aplicação usa as credenciais temporárias fornecidas automaticamente para acessar o OSS.

  Para mais informações, consulte Funções do RAM de instância.

• Fornecimento de acesso para usuários federados

  Sua empresa usa um IdP externo (como Microsoft Entra ID ou Okta). Configure a federação de identidades com SAML 2.0 ou OIDC e crie uma função do RAM que confie no IdP. Usuários autenticados assumem a função para acessar a Alibaba Cloud. Isso permite o gerenciamento centralizado de usuários sem a necessidade de usuários individuais do RAM.

  Visão geral do SSO baseado em função usando SAML e Visão geral do SSO baseado em função usando OIDC.

Referências

• Limitações

• Funções vinculadas ao serviço

• Visão geral da política de acesso

• Visão geral do SSO baseado em função usando SAML

• Funções do RAM para instâncias do ECS

• Acessar a Alibaba Cloud a partir de um aplicativo móvel usando um token STS