Resource Access Management：扮演RAM角色

什麼是RAM角色扮演

與RAM使用者不同，您不能直接用RAM角色登入控制台。您需要先用RAM使用者或SSO登入控制台後，再切換到目標RAM角色，這個過程稱為RAM角色扮演。

角色扮演成功後，原身份所擁有的許可權將暫時失去，轉而獲得被扮演的RAM角色所擁有的許可權。被扮演的RAM角色可以與登入的RAM使用者屬於同一阿里雲帳號，也可以屬於不同帳號（跨帳號角色扮演）。

工作原理

下面以RAM使用者Alice嘗試扮演RAM角色prod-role，並以角色身份訪問OSSObject Storage Service為例，解釋角色扮演工作原理：

1. 請求扮演RAM角色：RAM使用者Alice向阿里雲STS服務要求扮演RAM角色prod-role的臨時安全憑證（STS Token）。RAM會驗證Alice的身份（例如AccessKey），是否具有扮演該角色的許可權（sts:AssumeRole），以及prod-role的信任策略是否允許Alice扮演（Principal是否匹配Alice）。

2. 擷取臨時安全憑證：驗證通過後，Alice獲得由阿里雲STS服務返回的STS Token。

3. 以角色身份訪問雲資源：Alice使用擷取到的STS Token，以prod-role角色身份訪問OSSObject Storage Service等雲資源。此時Alice的原有許可權暫時失效，轉而擁有prod-role角色的許可權。最終資源存取權限由角色prod-role的權限原則（oss:*）決定。

角色會話的有效時間

角色會話是指實體身份（如RAM使用者或其他可信實體）在成功扮演角色後，所建立的有時限的訪問會話。角色會話的有效時間控制著您以該角色身份執行操作的可用時間長度。會話到期後，您需要重新通過扮演角色來擷取新的會話。

如需瞭解如何設定角色最大會話時間和登入工作階段的到期時間，請參見設定RAM角色最大會話時間、管理RAM使用者安全設定。

扮演RAM角色的操作方式

您可以根據實際情境選擇合適的方式扮演RAM角色：

• 控制台切換身份：在控制台臨時切換到RAM角色執行操作。

• API調用：程式或服務擷取臨時安全憑證（STS Token）訪問阿里雲資源。

• CLI命令：通過命令列工具以RAM角色身份執行操作。

跨帳號角色扮演

跨帳號角色扮演允許您以一個阿里雲帳號下的身份（RAM使用者或RAM角色），扮演另一個阿里雲帳號下的RAM角色，從而訪問該帳號下的資源。

實現跨帳號角色扮演需要滿足以下條件：

• 目標角色需要信任源帳號或源帳號下的RAM使用者、RAM角色（在目標角色的信任策略中通過Principal關鍵字定義）。

• 原身份具有 sts:AssumeRole 操作許可權。

更多資訊，請參見跨阿里雲帳號訪問資源。

角色鏈

角色鏈指的是 RAM 身份（或角色SSO）成功扮演一個角色後，繼續以這個角色的身份扮演其他角色的過程。

要使得角色A可以繼續扮演角色B，角色A必須被授予sts:AssumeRole操作許可權，且角色B必須信任角色A。

下面使用CLI示範如何使用角色鏈：

1. 按照上述使用CLI扮演RAM角色案例配置CLI並扮演角色admin-role（源角色）。

2. 為角色admin-role添加系統策略AliyunSTSAssumeRoleAccess。

3. 建立目標RAM角色，例如名稱為target-role。修改目標角色的信任策略，在Principal關鍵字中指定身份為admin-role：

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "acs:ram::<ACCOUNT_ID>:role/admin-role"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. 使用ChainableProfile模式來配置阿里雲CLI。

   aliyun configure --profile ChainableProfile --mode ChainableRamRoleArn

5. 按照提示輸入源配置（Source Profile）名，希望繼續扮演的角色Arn等資訊。

   Configuring profile 'ChainableProfile' in 'ChainableRamRoleArn' authenticate mode...
   Source Profile []: RamRoleArnProfile
   Sts Region []: cn-shanghai
   Ram Role Arn []: acs:ram::012345678910****:role/target-role
   Role Session Name []: user-name
   External ID []: abcd1234
   Expired Seconds [900]: 900
   Default Region Id []: cn-shanghai
   Default Output Format [json]: json (Only support json)
   Default Language [zh|en] zh: en
   Saving profile[ChainableProfile] ...Done.

6. 完成認證後，執行如下命令來查看當前調用者的身份資訊。返回結果中將包含目標角色Arn。

   aliyun sts GetCallerIdentity

   您現在可以使用角色鏈中目標角色的身份執行CLI命令。

常見問題

相關文檔

• 建立可信實體為阿里雲帳號的RAM角色

• 跨阿里雲帳號訪問資源

• 行動裝置 App使用臨時安全性權杖訪問阿里雲

• SAML角色SSO概覽

• OIDC角色SSO概覽

• RAM角色和STS Token常見問題