Details of Tablestore authentication process - Tablestore: Central de Documentação do Alibaba Cloud

Quando uma identidade do Resource Access Management (RAM) inicia uma solicitação de acesso a recursos no Tablestore, o sistema avalia as políticas para determinar se a solicitação passa na autenticação. O Tablestore permite a solicitação apenas se ela for aprovada na autenticação. A identidade do RAM é um usuário ou uma função do RAM. É possível iniciar a solicitação usando o Alibaba Cloud Management console, uma operação de API ou a CLI. Este tópico descreve o processo de avaliação de políticas do Tablestore.

Autenticação

Ao receber uma solicitação, o Tablestore determina se deve permitir ou negar a solicitação com base na autenticação. A autenticação baseia-se em políticas de controle, verificação de identidade, políticas de sessão baseadas em funções, políticas do RAM, políticas de instância e listas de controle de acesso (ACLs) de rede.

Os itens a seguir descrevem os possíveis resultados da avaliação de políticas:

Allow: permite a solicitação se ela corresponder a uma instrução Allow em vez de uma instrução Deny na política.
Explicit Deny: nega explicitamente a solicitação se ela corresponder a uma instrução Deny na política.
Implicit Deny: nega implicitamente a solicitação se ela não corresponder a nenhuma instrução Allow ou Deny, ou se não houver nenhuma política.

Importante

Se a solicitação corresponder simultaneamente a uma instrução Allow e a uma instrução Deny na política, a instrução Deny terá precedência. Nesse caso, o resultado da avaliação de políticas é Explicit Deny.
Por padrão, o Tablestore nega implicitamente todas as solicitações iniciadas por uma identidade do RAM.

Processo de autenticação

O Tablestore executa as seguintes etapas para autenticação:

Verifique se a conta proprietária do recurso solicitado é uma conta membro em um diretório de recursos com uma política de controle ativada.
- Se a conta proprietária do recurso solicitado não for uma conta membro de um diretório de recursos, ou se for uma conta membro de um diretório de recursos sem nenhuma política de controle ativada, prossiga para a próxima etapa.
- Se a conta proprietária do recurso solicitado for uma conta membro em um diretório de recursos com uma política de controle ativada, avalie a política de controle.
  - Se o resultado da avaliação da política de controle for Explicit Deny ou Implicit Deny, o Tablestore nega a solicitação.
  - Se o resultado da avaliação da política de controle for Allow, prossiga para a próxima etapa.
Verifique se a verificação de identidade foi bem-sucedida.

O Tablestore compara a assinatura incluída na solicitação com a assinatura calculada pelo servidor.
- Se as assinaturas forem diferentes, o Tablestore nega a solicitação.
- Se as assinaturas forem iguais, prossiga para a próxima etapa.
Verifique se é necessário avaliar a solicitação com base nas políticas de sessão baseadas em funções.
- Se for necessário avaliar a solicitação com base nas políticas de sessão baseadas em funções, o Tablestore avalia a política de sessão.
  - Se o resultado da avaliação da política de sessão for Explicit Deny ou Implicit Deny, o Tablestore nega a solicitação.
  - Se o resultado da avaliação da política de sessão for Allow, prossiga para a próxima etapa.
- Se não for necessário avaliar a solicitação com base nas políticas de sessão baseadas em funções, prossiga para a próxima etapa.
Verifique a categoria da operação da solicitação.

Use as operações de API de gerenciamento do Tablestore, como CreateInstance, para executar operações em instâncias. Use as operações de API de dados do Tablestore, como CreateTable, para executar operações básicas de dados e operações em tabelas de dados e de séries temporais. Para obter mais informações, consulte Management API operation overview e Data API operation overview.
- Se a categoria da operação da solicitação for uma operação de API de gerenciamento, avalie a política do RAM.
- Se a categoria da operação da solicitação for uma operação de API de dados, verifique as ACLs de rede.
  
  O Tablestore verifica as ACLs de rede para confirmar se o usuário que inicia a solicitação é o proprietário da instância à qual o recurso solicitado pertence.
  - Se o resultado da verificação da ACL de rede for Not Denied, prossiga para a próxima etapa.
  - Se o resultado da verificação da ACL de rede for Denied, o Tablestore nega a solicitação.
Avalie as políticas do RAM e as políticas de instância.
- As políticas do RAM são políticas de controle de acesso baseadas em identidade. configure as políticas do RAM para gerencie o acesso aos seus recursos no Tablestore. Ao autenticar uma solicitação com base nas políticas do RAM, o Tablestore determina se deve permitir ou negar a solicitação com base na conta usada para enviá-la.
  - Se a solicitação for enviada usando o par de AccessKey de um usuário do RAM ou credenciais do Security Token service (STS) para acessar uma instância que não pertence à conta Alibaba Cloud à qual o usuário do RAM pertence, ou ao proprietário da função do RAM, o resultado da avaliação da política do RAM é Implicit Deny.
  - Se o Tablestore chamar a operação de autenticação fornecida pelo RAM para autenticar uma solicitação, o Tablestore permite que o RAM execute a autenticação com base na conta usada para enviar a solicitação e no grupo de recursos ao qual a instância pertence. O resultado da avaliação da política do RAM é Allow, Explicit Deny ou Implicit Deny.
- As políticas de instância são políticas de autorização baseadas em recursos. O proprietário de uma instância pode configurar políticas de instância para autorizar usuários do RAM a executar operações específicas na instância ou em recursos específicos dentro dela.
  - Se nenhuma política de instância estiver configurada para a instância, o resultado da avaliação da política de instância é Implicit Deny.
  - Se houver políticas de instância configuradas para a instância, o Tablestore avalia a política de instância. O resultado da avaliação da política de instância é Allow, Explicit Deny ou Implicit Deny.
Verifique se os resultados da avaliação anterior incluem uma instrução Explicit Deny.
- Se incluírem, o Tablestore nega a solicitação.
- Caso contrário, prossiga para a próxima etapa.
Verifique se os resultados da avaliação anterior incluem uma instrução Allow.
- Se incluírem, o Tablestore permite a solicitação.
- Caso contrário, o Tablestore nega a solicitação.

Referências

Para obter mais informações sobre a avaliação de políticas de controle e políticas de sessão baseadas em funções, consulte How RAM evaluates policies.
Para saber mais sobre diretórios de recursos e políticas de controle, consulte What is Resource Directory? e Overview.
Para mais detalhes sobre os métodos de controle de acesso do Tablestore, consulte Access control overview, RAM Policy, Control Policy, Network ACL e Instance Policy.