Resource Access Management：什麼是STS

概念

說明

RAM使用者

RAM使用者是RAM的一種實體身份類型，有確定的身份ID和身份憑證，它通常與某個確定的人或應用程式一一對應。

• 一個阿里雲帳號下可以建立多個RAM使用者，對應企業內的員工、系統或應用程式。

• RAM使用者不擁有資源，不能獨立計量計費，由所屬阿里雲帳號統一控制和付費。

• RAM使用者歸屬於阿里雲帳號，只能在所屬阿里雲帳號的空間下可見，而不是獨立的阿里雲帳號。

• RAM使用者必須在獲得阿里雲帳號的授權後才能登入控制台或使用API操作阿里雲帳號下的資源。

更多資訊，請參見RAM使用者概覽和建立RAM使用者。

RAM角色

RAM角色是一種虛擬使用者，可以被授予一組權限原則。與RAM使用者不同，RAM角色沒有確定的登入密碼或存取金鑰，它需要被一個可信的實體使用者（RAM使用者、阿里雲服務或身份供應商）扮演。扮演成功後實體使用者將獲得RAM角色的臨時身份憑證，即安全性權杖（STS Token），使用安全性權杖就能以RAM角色身份訪問被授權的資源。

根據不同的可信實體，RAM角色分為以下三類：

• 阿里雲帳號：允許RAM使用者所扮演的角色。扮演角色的RAM使用者可以屬於自己的阿里雲帳號，也可以屬於其他阿里雲帳號。此類角色主要用來解決跨帳號訪問和臨時授權問題。

• 阿里雲服務：允許雲端服務所扮演的角色。此類角色主要用於授權雲端服務代理您進行資源操作。

• 身份供應商：允許可信身份供應商下的使用者所扮演的角色。此類角色主要用於實現與阿里雲的單點登入（SSO）。

更多資訊，請參見RAM角色概覽、建立可信實體為阿里雲帳號的RAM角色、建立可信實體為阿里雲服務的RAM角色和建立可信實體為身份供應商的RAM角色。

角色ARN

角色ARN是角色的全域資源描述符，用來指定具體角色。ARN遵循阿里雲ARN的命名規範。例如，某個阿里雲帳號下的devops角色的ARN為：acs:ram::123456789012****:role/samplerole。建立角色後，單擊角色名稱後，可在基本資料頁查看其ARN。

可信實體

RAM角色的可信實體是指可以扮演RAM角色的實體使用者身份。建立RAM角色時必須指定可信實體，RAM角色只能被可信實體扮演。可信實體可以是阿里雲帳號、受信的阿里雲服務或身份供應商。

權限原則

權限原則是用文法結構描述的一組許可權的集合，可以精確地描述被授權的資源集、操作集以及授權條件。權限原則是描述許可權集的一種簡單語言規範。一個RAM角色可以綁定一組權限原則，沒有綁定權限原則的RAM角色可以存在，但不能訪問資源。

扮演角色

扮演角色是實體使用者擷取角色身份的安全性權杖的方法。一個實體使用者調用STS API AssumeRole - 擷取扮演角色的臨時身份憑證可以獲得角色的安全性權杖，使用安全性權杖可以訪問雲端服務API。