Alibaba Cloud Security Token Service (STS), RAM rolleri için geçici ve kısıtlı yetkili kimlik bilgileri talep etmenizi sağlayan bir web hizmetidir. Geçici kimlik bilgileri kısa süre sonra sona erdiği için uzun vadeli AccessKey çiftleriyle ilişkili riskleri azaltır; bu nedenle kullanımı en iyi güvenlik uygulamasıdır.
STS nasıl çalışır?
STS, güvenilir ana ilkelerin geçici olarak bir RAM rolünü üstlenmesine olanak tanır. Temel süreç şu şekildedir:
Güvenilir bir ana ilke (RAM kullanıcısı, federasyonlu kullanıcı veya Alibaba Cloud hizmeti gibi) belirli bir RAM rolünü üstlenmek üzere STS'ye istek gönderir.
STS, ana ilkenin kimliğini doğrular ve hedef rolün bu ilkeye güvendiğini teyit eder.
İstek geçerliyse STS, STS belirteci olarak bilinen geçici bir kimlik bilgisi döndürür.
Ana ilke, üstlenilen rol tarafından verilen izinlerle Alibaba Cloud hizmetlerine kimliği doğrulanmış API çağrıları yapmak için STS belirtecini kullanır.
STS'nin faydaları
Gelişmiş güvenlik: Uzun vadeli AccessKey çiftlerini gömmenize veya dağıtmanıza gerek kalmaz. STS belirteçleri otomatik olarak sona erer; bu durum, kimlik bilgilerinin ele geçirilme riskini önemli ölçüde azaltır.
Kimlik bilgisi yönetiminin basitleştirilmesi: STS belirteçleri geçicidir ve süresi yapılandırılabilir; bu nedenle bunları manuel olarak değiştirmeniz gerekmez.
Ayrıntılı izinler: STS belirteci talep ederken oturum ilkesi uygulayarak söz konusu oturum için izinleri daha da kısıtlayabilir ve en az ayrıcalık ilkesini zorunlu kılabilirsiniz.
Yaygın kullanım senaryoları
Hesaplar arası erişim ve yetki devri
Bir hesaptaki yetkili bir RAM kullanıcısı, başka bir hesaptaki bir rolü üstlenmek için AssumeRole işlemine çağrı yapabilir. Bu işlem, uzun vadeli kimlik bilgilerini paylaşmadan kaynaklara geçici ve hesaplar arası erişim sağlar. Aynı hesap içindeki bir kullanıcıya geçici ve yükseltilmiş izinler vermek için de kullanılır. Daha fazla bilgi için bkz. RAM rolünü üstlenme ve Alibaba Cloud hesapları arasında kaynaklara erişim.
Kimlik federasyonu
Kurumsal Active Directory gibi harici bir kimlik sağlayıcısından (IdP) gelen kullanıcılara Alibaba Cloud kaynaklarınıza erişim izni verebilirsiniz. Federasyonlu kullanıcı IdP ile kimlik doğrulaması yapar, SAML onayı veya OIDC belirteci alır ve ardından bunu AssumeRoleWithSAML veya AssumeRoleWithOIDC çağrısı yaparak bir STS belirteci ile değiştirir. Daha fazla bilgi için bkz. SAML 2.0 federasyonuna genel bakış ve OIDC federasyonuna genel bakış.
Mobil ve web uygulamaları
Son kullanıcılara Object Storage Service (OSS) paketlerine dosya yükleme gibi Alibaba Cloud kaynaklarına geçici erişim sağlamak için STS kullanan güvenli bir uygulama geliştirebilirsiniz. Uygulama, kullanıcıyı kimlik doğrular ve ardından adına bir STS belirteci alır. Daha fazla bilgi için bkz. Mobil uygulamadan STS belirteci kullanarak Alibaba Cloud'a erişim.
Temel kavramlar
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|