全部产品
Search
文档中心

访问控制:创建可信实体为身份提供商的RAM角色

更新时间:Jan 19, 2024

可信实体为身份提供商的RAM角色主要用于实现企业IdP与阿里云的单点登录(角色SSO)。该RAM角色允许可信的身份提供商下的用户扮演。

前提条件

请确保您已创建了身份提供商:

创建SAML身份提供商的RAM角色

在基于SAML 2.0的角色SSO(单点登录)场景下,您需要创建可信实体为SAML身份提供商的RAM角色。

  1. 使用RAM管理员登录RAM控制台

  2. 在左侧导航栏,选择身份管理 > 角色

  3. 角色页面,单击创建角色

  4. 创建角色页面,选择可信实体类型为身份提供商,然后单击下一步

  5. 输入角色名称备注

  6. 选择身份提供商类型为SAML

  7. 选择身份提供商并查看限制条件。

    说明

    目前只支持一个条件关键字saml:recipient,必选且不能修改。

  8. 单击完成

  9. 单击关闭

创建OIDC身份提供商的RAM角色

在基于OIDC的角色SSO(单点登录)场景下,您需要创建可信实体为OIDC身份提供商的RAM角色。

  1. 使用RAM管理员登录RAM控制台

  2. 在左侧导航栏,选择身份管理 > 角色

  3. 角色页面,单击创建角色

  4. 创建角色页面,选择可信实体类型为身份提供商,然后单击下一步

  5. 输入角色名称备注

  6. 选择身份提供商类型为OIDC

  7. 选择身份提供商并设置限制条件。

    支持的限制条件如下表所示:

    限制条件关键字

    说明

    是否必选

    示例

    oidc:iss

    OIDC颁发者(Issuer)。用来扮演角色的OIDC令牌中的iss字段值必须满足该限制条件要求,角色才允许被扮演。

    该限定条件必须使用StringEquals作为条件操作类型,条件值只能是您在OIDC身份提供商中填写的颁发者URL。该限制条件用于确保只有受信颁发者颁发的OIDC令牌才能扮演角色。

    https://dev-xxxxxx.okta.com

    oidc:aud

    OIDC受众(Audience)。用来扮演角色的OIDC令牌中的aud字段值必须满足该限制条件要求,角色才允许被扮演。

    该限定条件必须使用StringEquals作为条件操作类型,您可选择在OIDC身份提供商中配置的一个或多个客户端ID(Client ID)作为条件值。该限制条件用于确保只有您设置的Client ID生成的OIDC令牌才能扮演角色。

    0oa294vi1vJoClev****

    oidc:sub

    OIDC主体(Subject)。用来扮演角色的OIDC令牌中的sub字段值必须满足该限制条件要求时,角色才允许被扮演。

    该限定条件可以使用任何String类的条件操作类型,且您可以最多设置10个OIDC主体作为条件值。该限制条件用于进一步限制允许扮演角色的身份主体,您也可以不指定该限制条件。

    00u294e3mzNXt4Hi****

  8. 单击完成

  9. 单击关闭

后续步骤

成功创建RAM角色后,该RAM角色没有任何权限,您需要为该RAM角色授权。具体操作,请参见为RAM角色授权