O Alibaba Cloud Security Token Service (STS) é um service web que permite solicitar credenciais temporárias com privilégios limitados para funções do Resource Access Management (RAM). O uso de credenciais temporárias é uma prática recomendada de segurança, pois elas expiram após um curto período e reduzem os riscos associados a pares de AccessKey permanentes.
Como o STS funciona
O STS permite que principais confiáveis assumam temporariamente uma função do RAM. O processo central ocorre da seguinte forma:
Um principal confiável (como um usuário do RAM, um usuário federado ou um service da alibaba cloud) solicita ao STS a assunção de uma função específica do RAM.
O STS autentica o principal e verifica se ele é confiável para a função de destino.
Se a solicitação for válida, o STS retorna uma credencial temporária, conhecida como token do STS.
O principal usa o token do STS para fazer chamadas de api autenticadas aos services da alibaba cloud com as permissões concedidas pela função assumida.
Benefícios do STS
Segurança aprimorada: Elimina a necessidade de incorporar ou distribuir pares de AccessKey permanentes. Os tokens do STS expiram automaticamente, o que reduz significativamente o risco de comprometimento de credenciais.
Gestão simplificada de credenciais: Como os tokens do STS são temporários e têm duração configurável, não é necessário rotacioná-los manualmente.
Permissões granulares: Aplique uma política de sessão ao solicitar um token do STS para restringir ainda mais as permissões dessa sessão específica e aplicar o princípio do menor privilégio.
Casos de uso comuns
Acesso entre contas e delegado
Um usuário do RAM autorizado em uma conta pode chamar a operação AssumeRole para assumir uma função em outra conta. Isso concede acesso temporário entre contas a recursos sem o compartilhamento de credenciais permanentes. Esse mecanismo também serve para conceder permissões elevadas temporárias a um usuário dentro da mesma conta. Para mais informações, consulte Assume a RAM role e Access resources across Alibaba Cloud accounts.
Federação de identidade
Usuários de um provedor de identidade externo (IdP), como um Active Directory corporativo, podem receber acesso aos seus recursos na alibaba cloud. O usuário federado se autentica no IdP, recebe uma asserção SAML ou token OIDC e o troca por um token do STS ao chamar AssumeRoleWithSAML ou AssumeRoleWithOIDC. Para mais informações, consulte Overview of SAML 2.0 federation e Overview of OIDC federation.
Aplicativos móveis e web
Desenvolva aplicativos seguros que usem o STS para fornecer aos usuários finais acesso temporário a recursos da alibaba cloud, como upload de arquivos em um bucket do Object Storage Service (OSS). O aplicativo autentica o usuário e obtém um token do STS em nome dele. Para mais informações, consulte Access Alibaba Cloud from a mobile app using an STS token.
Conceitos principais
|
Conceito |
Descrição |
|
Usuário do RAM |
Identidade com credenciais permanentes (senha e pares de accesskey). Geralmente representa uma pessoa ou aplicativo que requer acesso de longo prazo. Para mais informações, consulte Overview of RAM users e Create a RAM user. |
|
Função do RAM |
Identidade virtual que define um conjunto de permissões. Não possui credenciais permanentes e foi projetada para ser assumida temporariamente por um principal confiável. Para mais informações, consulte Overview of RAM roles, Create a RAM role for a trusted identity provider, Create a RAM role for a trusted Alibaba Cloud account e Create a RAM role for Alibaba Cloud services. |
|
ARN da função do RAM |
Identificador exclusivo de uma função do RAM, formatado como um alibaba cloud Resource Name (ARN). Use-o para especifique a função em políticas e chamadas de api. Exemplo: |
|
Token do STS |
Credencial temporária composta por um accesskey ID temporário, um accesskey secret temporário e um token de segurança. Concede ao portador as permissões da função do RAM assumida por uma duração limitada. |
|
Principal confiável |
Principal (como um usuário do RAM, um service da alibaba cloud ou um usuário federado) com permissão para assumir uma função do RAM. Essa relação de confiança é defina na política de confiança da função. |
|
Política |
Política do RAM anexada a uma função que define suas permissões. Especifica as ações permitidas ou negadas à função em recursos específicos. Uma função sem política não possui permissões. |
|
Assunção de função |
Ação de solicitar credenciais temporárias para uma função do RAM. Execute essa ação chamando uma operação da api do STS, como AssumeRole. |