Modify the trust policy of a RAM role - Resource Access Management

Bir RAM rolünün güven ilkesini değiştirerek rolün asıl öğesini bir Alibaba Cloud hesabı, bir Alibaba Cloud hizmeti veya bir kimlik sağlayıcı (IdP) olarak ayarlayabilirsiniz.

Arka plan

Bir RAM rolü oluştururken bu rolü üstlenebilecek asıl öğeleri belirtirsiniz: Bir Alibaba Cloud hesabı, bir Alibaba Cloud hizmeti veya bir kimlik sağlayıcı (IdP). Rolü oluşturduktan sonra genellikle güven ilkesini değiştirmeniz gerekmez ancak gerekli durumlarda ilkeyi değiştirebilirsiniz.

Uyarı

RAM rolünün güven ilkesindeki asıl öğeyi değiştirmek, rolü kimlerin üstlenebileceğini etkiler ve hizmetlerinizde kesintiye neden olabilir. Değişiklikleri üretim hesabına uygulamadan önce beklendiği gibi çalıştığını doğrulamak amacıyla bunları mutlaka bir test hesabında deneyin.

Yordam

Bir RAM yöneticisi olarak RAM konsolu üzerinde oturum açın.
Sol gezinme bölmesinde Identities > Roles seçeneğini belirleyin.
Roles sayfasında hedef RAM rolünün adını tıklayın.
Trust Policy sekmesinde Edit Trust Policy seçeneğini tıklayın.
Düzenleyicide güven ilkesini değiştirin ve ardından OK seçeneğini tıklayın.

Örnek 1: Asıl öğeyi bir Alibaba Cloud hesabı olarak değiştirme

Principal öğesi bir RAM alanı içeriyorsa RAM rolünün asıl öğesi bir Alibaba Cloud Account olur. Rol, güvenilir Alibaba Cloud hesabına ait RAM kullanıcıları veya RAM rolleri tarafından üstlenebilir.

Güvenilir Alibaba Cloud hesabındaki tüm RAM kullanıcılarının ve RAM rollerinin RAM rolünü üstlenmesine izin verme

Aşağıdaki güven ilkesi, 123456789012**** Alibaba Cloud hesabındaki herhangi bir RAM kullanıcısının veya RAM rolünün rolü üstlenmesine olanak tanır.
```
{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:root"
                ]
            }
        }
    ],
    "Version": "1"
}
```
Yalnızca güvenilir Alibaba Cloud hesabında belirtilen bir RAM kullanıcısının RAM rolünü üstlenmesine izin verme

Aşağıdaki Principal öğesi, yalnızca 123456789012**** Alibaba Cloud hesabı altındaki testuser RAM kullanıcısının rolü üstlenmesine olanak tanır.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:user/testuser"
                ]
            }                   
```
Not
Bu güven ilkesini değiştirirken ilgili testuser RAM kullanıcısının oluşturulmuş olduğundan emin olun.
Yalnızca güvenilir Alibaba Cloud hesabında belirtilen bir RAM rolünün RAM rolünü üstlenmesine izin verme

Aşağıdaki Principal öğesi, yalnızca 123456789012**** Alibaba Cloud hesabı altındaki testrole RAM rolünün rolü üstlenmesine olanak tanır.
```
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:role/testrole"                
                ]
            }                                 
```
Not
Bu güven ilkesini değiştirirken testrole RAM rolünün oluşturulmuş olduğundan emin olun.

Örnek 2: Asıl öğeyi bir Alibaba Cloud hizmeti olarak değiştirme

Principal öğesi bir Service alanı içeriyorsa RAM rolünün asıl öğesi bir Alibaba Cloud Service olur. Rol, güvenilir bir Alibaba Cloud hizmeti tarafından üstlenebilir.

Aşağıdaki güven ilkesi, mevcut Alibaba Cloud hesabındaki ECS hizmetinin rolü üstlenmesine olanak tanır.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "ecs.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

Not

Hizmet bağlantılı bir rolün güven ilkesi, ilişkili cloud hizmeti tarafından tanımlanır. Hizmet bağlantılı bir rolün güven ilkesini değiştiremezsiniz. Daha fazla bilgi için bkz. Hizmet bağlantılı roller.

Örnek 3: Asıl öğeyi bir kimlik sağlayıcı (IdP) olarak değiştirme

Principal öğesi bir Federated alanı içeriyorsa RAM rolünün asıl öğesi bir IdP olur. Rol, güvenilir kimlik sağlayıcıdaki kullanıcılar tarafından üstlenebilir.

Aşağıdaki örnekte RAM rolü, mevcut Alibaba Cloud hesabındaki (AccountID=123456789012****) testprovider kimlik sağlayıcısı altındaki kullanıcılar tarafından üstlenebilir.

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Federated": [
                    "acs:ram::123456789012****:saml-provider/testprovider"
                ]
            },
            "Condition":{
                "StringEquals":{
                    "saml:recipient":"https://signin.alibabacloud.com/saml-role/sso"
                }
            }
        }
    ],
    "Version": "1"
}