STS权限管理系统是比访问控制(RAM)更为严格的权限管理系统。使用STS权限管理系统进行资源访问控制,需通过复杂的授权流程,授予RAM用户临时访问资源的权限。

背景信息

RAM用户和授予RAM用户的权限均长期有效。删除RAM用户或解除RAM用户权限,均需手动操作。发生RAM用户信息泄露后,如果无法及时删除该RAM用户或解除权限,可能给您的阿里云资源和重要信息带来危险。所以,对于关键性权限或RAM用户无需长期使用的权限,您可以通过STS权限管理系统来进行控制。

图 1. RAM用户获得临时访问权限的操作流程
STS

步骤一:创建角色

RAM角色是一种虚拟用户,是承载操作权限的虚拟概念。

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择身份管理 > 角色
  3. 角色页面,单击创建角色
  4. 创建角色面板,选择可信实体类型为阿里云账号,然后单击下一步
  5. 设置角色信息。
    1. 输入角色名称
    2. 可选:输入备注
    3. 选择云账号。
      • 当前云账号:当您允许当前阿里云账号下的RAM用户扮演该RAM角色时,您可以选择当前云账号
      • 其他云账号:当您允许其他阿里云账号下的RAM用户扮演该RAM角色时,您可以选择其他云账号,然后输入其他阿里云账号ID。该项主要针对跨阿里云账号的资源授权访问场景。
        说明 您可以访问安全设置页面查看阿里云账号ID。
  6. 单击完成
  7. 单击关闭

步骤二:创建角色授权策略

角色授权策略,即定义要授予角色的资源访问权限。

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择权限管理 > 权限策略
  3. 权限策略页面,单击创建权限策略
  4. 创建权限策略页面,单击脚本编辑页签。
  5. 输入权限策略内容,然后单击继续编辑基本信息
    关于权限策略语法结构的详情,请参见权限策略语法和结构

    IoT资源只读权限的授权策略内容示例如下:

    {
        "Version":"1",
        "Statement":[
            {
                "Action":[
                    "rds:DescribeDBInstances",
                    "rds:DescribeDatabases",
                    "rds:DescribeAccounts",
                    "rds:DescribeDBInstanceNetInfo"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":"ram:ListRoles",
                "Effect":"Allow",
                "Resource":"*"
            },
            {
                "Action":[
                    "mns:ListTopic"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "dhs:ListProject",
                    "dhs:ListTopic",
                    "dhs:GetTopic"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "ots:ListInstance",
                    "ots:ListTable",
                    "ots:DescribeTable"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "log:ListShards",
                    "log:ListLogStores",
                    "log:ListProject"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Effect":"Allow",
                "Action":[
                    "iot:Query*",
                    "iot:List*",
                    "iot:Get*",
                    "iot:BatchGet*"
                ],
                "Resource":"*"
            },
            {
                "Action": [
                    "linkwan:GetInstancePacketStat",
                    "linkwan:CountGateways"
                ],
                "Resource": "*",
                "Effect": "Allow"
            }
        ]
    }

    IoT资源读写权限的授权策略内容示例如下:

    {
        "Version":"1",
        "Statement":[
            {
                "Action":[
                    "rds:DescribeDBInstances",
                    "rds:DescribeDatabases",
                    "rds:DescribeAccounts",
                    "rds:DescribeDBInstanceNetInfo"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":"ram:ListRoles",
                "Effect":"Allow",
                "Resource":"*"
            },
            {
                "Action":[
                    "mns:ListTopic"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "dhs:ListProject",
                    "dhs:ListTopic",
                    "dhs:GetTopic"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "ots:ListInstance",
                    "ots:ListTable",
                    "ots:DescribeTable"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Action":[
                    "log:ListShards",
                    "log:ListLogStores",
                    "log:ListProject"
                ],
                "Resource":"*",
                "Effect":"Allow"
            },
            {
                "Effect":"Allow",
                "Action":"iot:*",
                "Resource":"*"
            }
        ]
    }
  6. 输入权限策略名称备注
  7. 单击确定

授权策略创建成功后,您就可以将该授权策略中定义的权限授予角色。

步骤三:为角色授权

角色获得授权后,才具有资源访问权限。您可以在角色页面,单击角色对应的添加权限,为单个角色授权。具体操作,请参见为RAM角色授权。本文介绍同时为多个角色授权的操作步骤。

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择权限管理 > 授权
  3. 授权页面,单击新增授权
  4. 新增授权页面,为RAM角色添加权限。
    1. 选择授权范围。
      • 整个云账号:权限在当前阿里云账号内生效。
      • 指定资源组:权限在指定的资源组内生效。
        说明 指定资源组授权生效的前提是该云服务已支持资源组。更多信息,请参见支持资源组的云服务
    2. 输入授权主体。
      授权主体即需要授权的RAM角色。
    3. 选择权限策略。
      说明 每次最多绑定5条策略,如需绑定更多策略,请分次操作。
  5. 单击确定
  6. 单击完成

下一步,为RAM用户授予可以扮演该角色的权限。

步骤四:授予RAM用户角色扮演权限

虽然经过授权后,该角色已拥有了授权策略定义的访问权限,但角色本身只是虚拟用户,需要RAM用户扮演该角色,才能进行权限允许的操作。若任意RAM用户都可以扮演该角色,也会带来风险,因此只有获得角色扮演权限的RAM用户才能扮演角色。

授权RAM用户扮演角色的方法:先新建一个Resource参数值为角色ID的自定义授权策略,然后用该授权策略为RAM用户授权。

  1. 使用阿里云账号登录RAM控制台
  2. 在左侧导航栏,选择权限管理 > 权限策略
  3. 权限策略页面,单击创建权限策略
  4. 创建权限策略页面,单击脚本编辑页签。
  5. 输入权限策略内容,然后单击继续编辑基本信息
    说明 授权策略内容中,参数Resource 的值需为角色Arn。在RAM角色管理页面,单击角色名称,进入基本信息页,查看角色的Arn 。

    角色授权策略示例:

    {
        "Version":"1",
        "Statement":[
            {
                "Effect":"Allow",
                "Action":"iot:QueryProduct",
                "Resource":"角色Arn"
            }
        ]
    }
  6. 输入权限策略名称备注
  7. 单击确定
  8. 授权策略创建成功后,返回RAM访问控制主页面。
    1. 在左侧导航栏,选择身份管理 > 用户
    2. 在RAM用户列表中,选中要授权的RAM用户前的复选框,然后单击下方的添加权限
    3. 在授权对话框中,选中刚新建的角色授权策略,再单击确定

授权完成后,RAM用户便有了可以扮演该角色的权限,就可以使用STS获取扮演角色的临时身份凭证和进行资源访问。

步骤五:RAM用户获取临时身份凭证

获得角色授权的RAM用户,可以通过直接调用API或使用SDK来获取扮演角色的临时身份凭证:AccessKey ID、AccessKey Secret和SecurityToken。STS API和STS SDK详情,请参见STS APISTS SDK

使用API和SDK获取扮演角色的临时身份凭证需传入以下参数:

  • RoleArn:需要扮演的角色Arn。
  • RoleSessionName:临时凭证的名称(自定义参数)。
  • Policy:授权策略,即为角色增加一个权限限制。通过此参数限制生成的Token的权限。不指定此参数,则返回的Token将拥有指定角色的所有权限。
  • DurationSeconds:临时凭证的有效期。单位是秒,最小为900,最大为3600,默认值是3600。
  • id和secret:指需要扮演该角色的RAM用户的AccessKey ID和AccessKey Secret。

获取临时身份凭证示例

API示例:RAM用户通过调用STS的AssumeRole接口获得扮演该角色的临时身份凭证。

https://sts.aliyuncs.com?Action=AssumeRole
&RoleArn=acs:ram::1234567890123456:role/iotstsrole
&RoleSessionName=iotreadonlyrole
&DurationSeconds=3600
&Policy=<url_encoded_policy>
&<公共请求参数>

SDK示例:RAM用户使用STS的Python命令行工具接口获得扮演该角色的临时身份凭证。

$python ./sts.py AssumeRole RoleArn=acs:ram::1234567890123456:role/iotstsrole RoleSessionName=iotreadonlyrole Policy='{"Version":"1","Statement":[{"Effect":"Allow","Action":"iot:*","Resource":"*"}]}' DurationSeconds=3600 --id=id --secret=secret

请求成功后,将返回扮演该角色的临时身份凭证:AccessKey ID、AccessKey Secret和SecurityToken。

步骤六:RAM用户临时访问资源

获得扮演角色的临时身份凭证后,RAM用户便可以在调用SDK的请求中传入该临时身份凭证信息,扮演角色。

Java SDK示例:RAM用户在调用请求中,传入临时身份凭证的AccessKey ID、AccessKey Secret和SecurityToken参数,创建IAcsClient对象。

IClientProfile  profile = DefaultProfile.getProfile("cn-hangzhou", AccessKeyId,AccessKeySecret);
RpcAcsRequest request.putQueryParameter("SecurityToken", Token);
IAcsClient client = new DefaultAcsClient(profile);
AcsResponse response = client.getAcsResponse(request);