RAM支援使用OAuth 2.0、OAuth 2.1協議進行使用者認證和應用授權。本文介紹阿里雲OAuth服務的基本概念、應用情境和OAuth範圍。
基本概念
概念 | 說明 |
使用者 | 使用者需要登入到阿里雲並授權應用訪問阿里雲資源。使用者可以是阿里雲帳號（主帳號）、RAM使用者和RAM角色。 說明 2024年09月10日之前已建立的OAuth應用不支援RAM角色，請提交工單申請。 |
阿里雲OAuth服務 | 阿里雲OAuth服務對使用者進行認證，並接受使用者對應用的授權，產生代表使用者身份的令牌並返回給被授權的應用。 |
公司專屬應用程式 | 當前阿里雲帳號下建立的應用，本帳號下的使用者無需授權即可直接存取，其他阿里雲帳號下的使用者需要安裝和授權後才能訪問。 您可以建立以下類型的公司專屬應用程式：
|
第三方應用 | 經過安裝和授權的、非本帳號建立的應用。 |
官方應用 | 由阿里雲服務提供的應用，所有阿里雲帳號均可主動安裝。因為該類應用非本帳號建立，所以官方應用屬於第三方應用。 |
OAuth範圍 | OAuth服務通過OAuth範圍來限定應用扮演使用者登入阿里雲後可以訪問的範圍。支援的範圍如下：
|
令牌 | OAuth服務可以給應用下發代表登入使用者的令牌。
|
阿里雲API | 應用通過調用阿里雲API可以訪問相應阿里雲資源。 |
應用情境
OAuth範圍
阿里雲RAM產品提供openid、aliuid、profile三個OAuth範圍，獲得使用者授權可獲得下表所示的資訊。
參數名稱 | 定義 | 樣本 | 需要的OAuth範圍 |
exp | 令牌到期時間戳記。 | 1517539523 | openid |
sub | 唯一代表登入使用者的字串，但並不包含阿里雲UID、使用者名稱等資訊。 說明 當登入使用者為RAM角色時，sub將根據角色扮演者 | 123456789012**** | openid |
aud | 令牌接收者，OAuth應用ID。 | 4567890123456**** | openid |
iss | 令牌頒發者。取值為 | https://oauth.aliyun.com | openid |
iat | 令牌頒發時間戳記。 | 1517533200 | openid |
aid | 登入使用者所屬的阿里雲帳號（主帳號）ID。 | 177242285274**** | aliuid |
uid | 登入使用者的ID。取值：
| 20124982101502**** | aliuid |
type | 登入使用者類型。取值：
| user | profile |
login_name | 阿里雲帳號（主帳號）的登入名稱稱。 說明 阿里雲帳號（主帳號）請求時才會返回該參數。 | Alice | profile |
upn | RAM使用者的登入名稱稱。 說明 RAM使用者請求時才會返回該參數。 | Bob@examplecompany.onaliyun.com | profile |
name | 登入使用者名稱稱。取值：
說明 RAM使用者和RAM角色請求時才會返回該參數。 | Bob | profile |