RAM角色概览
本文为您介绍RAM角色的定义、分类、应用场景、基本概念、使用流程和使用限制。什么是RAM角色 RAM角色是一种虚拟用户，可以被授予一组权限策略。与RAM用户不同，RAM角色没有永久身份凭证（登录密码或访问密钥），需要被一个可信实体扮演。...
扮演RAM角色
通过调用API扮演RAM角色 有权限的RAM用户可以使用其访问密钥（AccessKey）调用 AssumeRole-获取扮演角色的临时身份凭证 接口，以获取某个RAM角色的临时安全令牌（STS Token），从而使用STS Token访问阿里云。说明 如果您通过扮演角色获取的...
创建可信实体为身份提供商的RAM角色
可信实体为身份提供商的RAM角色主要用于实现企业IdP与阿里云的单点登录（角色SSO）。该RAM角色允许可信的身份提供商下的用户扮演。前提条件 请确保您已创建了身份提供商：SAML身份提供商：具体操作，请参见 管理SAML身份提供商。OIDC身份...
创建可信实体为阿里云服务的RAM角色
可信实体为阿里云服务的RAM角色主要用于解决跨云服务授权访问的问题。该RAM角色允许可信的阿里云服务扮演。服务角色分类 普通服务角色：您需要自定义角色名称，选择受信服务，并自定义权限策略。服务关联角色：您只需选择可信的云服务，...
什么是STS
功能特性 使用RAM用户扮演角色时获取STS Token 有权限的RAM用户可以使用自己的访问密钥调用 AssumeRole-获取扮演角色的临时身份凭证 接口，以获取某个RAM角色的STS Token，从而使用STS Token访问阿里云资源。通常用于跨账号访问场景和临时...
RAM角色和STS Token常见问题
更多信息，请参见 使用实例RAM角色访问其他云产品。身份提供商：允许可信身份提供商下的用户所扮演的角色。此类角色主要用于实现与阿里云的SSO。能否指定RAM用户具体可以扮演哪个RAM角色？您可以通过创建自定义策略指定RAM用户具体可以扮演...
为RAM角色授权
方式一：在RAM角色页面为RAM角色授权 使用RAM管理员登录 RAM控制台。在左侧导航栏，选择 身份管理>角色。在 角色 页面，单击目标RAM角色 操作 列的 新增授权。您也可以选中多个RAM角色，单击角色列表下方的 新增授权，为RAM角色批量授权。...
对云上应用进行动态身份管理与授权
当企业购买阿里云服务后，应用程序通过访问控制（RAM）可以获取RAM角色的临时安全令牌，从而访问阿里云。背景信息 企业A购买了ECS实例，并计划在ECS实例中部署企业的应用程序。这些应用程序需要使用访问密钥（AccessKey）访问其它云服务API...
创建可信实体为阿里云账号的RAM角色
可信实体的RAM用户通过控制台或API扮演角色并获取角色的安全令牌（STS Token），然后以RAM角色身份访问对应的云资源。具体操作，请参见 扮演RAM角色。相关文档 CreateRole-创建角色 跨阿里云账号的资源授权 移动应用使用临时安全令牌访问...
服务关联角色
{"Action":["ram:CreateServiceLinkedRole","ram:DeleteServiceLinkedRole"],"Resource":"*","Effect":"Allow","Condition":{"StringEquals":{"ram:ServiceName":"resourcemanager.aliyuncs.com" } } } 说明 创建服务关联角色的权限通常...
STS Python SDK调用示例
登录 RAM访问控制，创建一个RAM用户。具体操作，请参见 创建RAM用户。凭证 进入到对应的 RAM用户 详情页，在 认证管理 页签下的 用户AccessKey 区域，单击 创建AccessKey，创建一个新的AccessKey。具体操作，请参见 创建AccessKey。重要 ...
设置RAM角色最大会话时间
您可以通过控制台或API设置RAM角色的最大会话时间。RAM角色最大会话时间设置成功后，当您使用RAM角色完成一些耗时较长的任务时，可以获得较长的登录会话时间；当您使用STS API扮演RAM角色时，可以获取较长的STS Token有效期。使用限制 RAM...
修改RAM角色的信任策略
通过修改RAM角色的信任策略内容，可以修改RAM角色的可信实体。本文通过示例为您介绍如何修改RAM角色的可信实体为阿里云账号、阿里云服务或身份提供商。背景信息 创建RAM角色时，您可以直接选择RAM角色的可信实体为阿里云账号、阿里云服务或...
移动应用使用临时安全令牌访问阿里云
本文介绍移动应用如何使用RAM角色的临时安全令牌（STS Token）访问阿里云资源。背景信息 企业A开发了一款移动应用（App），并购买了对象存储（OSS）服务。App需要直连OSS上传或下载数据，但是App运行在用户自己的移动设备上，这些设备不受...
使用限制
限制项 最大值 RAM用户 一个阿里云账号中的RAM用户个数 5000 RAM用户名称的字符数 64 一个RAM用户允许加入的用户组个数 10 一个RAM用户允许创建的访问密钥个数 2 一个RAM用户允许绑定的多因素认证设备个数 1 一个RAM用户允许绑定的系统策略...
UpdateRole-更新角色信息
{"Statement":[{"Action":"sts:AssumeRole","Effect":"Allow","Principal":{"RAM":"acs:ram:123456789012*:root"} }],"Version":"1"} UpdateDate string RAM 角色的更新时间。2015-01-23T12:33:18Z Description string RAM 角色描述。ECS...
SAML角色SSO概览
说明 如果SAML响应中包含映射到多个RAM角色的属性，系统将会首先提示用户选择一个用于访问阿里云的角色。SSO服务将URL返回给浏览器。浏览器重定向到该URL，以指定RAM角色登录到阿里云控制台。通过程序访问阿里云 企业员工Alice可以通过编写...
CreateRole-创建角色
接口说明 使用说明 关于 RAM 角色的介绍，请参见 RAM 角色概览。调试 您可以在OpenAPI Explorer中直接运行该接口，免去您计算签名的困扰。运行成功后，OpenAPI Explorer可以自动生成SDK代码示例。调试 授权信息 下表是API对应的授权信息，...
API概览
AssumeRoleWithSAML SAML角色SSO时获取扮演角色的临时身份凭证 进行SAML角色SSO时，通过调用AssumeRoleWithSAML接口，获取扮演RAM角色的临时身份凭证（STS Token）。AssumeRoleWithOIDC OIDC角色SSO时获取扮演角色的临时身份凭证 进行OIDC...
使用Azure AD进行角色SSO的示例
三个角色的值分别为：acs:ram:<Account1_ID>:role/adminaad,acs:ram:<Account1_ID>:saml-provider/AAD acs:ram:<Account1_ID>:role/readaad,acs:ram:<Account1_ID>:saml-provider/AAD acs:ram:<Account2_ID>:role/financeaad,acs:ram:...
使用ExternalId防止混淆代理人问题
[{"Action":"sts:AssumeRole","Effect":"Allow","Principal":{"RAM":["acs:ram:<deputy-accountId>:root"]},"Condition":{"StringEquals":{"sts:ExternalId":"abcd1234"} } }],"Version":"1"} 具体操作，请参见 修改RAM角色的信任策略。...
AssumeRole-获取扮演角色的临时身份凭证
通过调用AssumeRole接口，获取一个扮演RAM角色的临时身份凭证（STS Token）。接口说明 前提条件 该接口不能使用阿里云账号（主账号）调用，只能使用 RAM 用户或 RAM 角色调用，请确保已为调用者（RAM 用户或 RAM 角色）授予 STS 的管理权限...
扮演RAM角色时的权限策略判定流程
当可信实体通过阿里云控制台、API或CLI扮演RAM角色时，需要执行权限策略的判定流程，根据判定结果决定是否允许扮演RAM角色（AssumeRole）。本文为您介绍扮演RAM角色时的权限策略判定流程。说明 扮演RAM角色时的权限策略判定流程，遵从阿里...
AssumeRoleWithSAML-SAML角色SSO时获取扮演角色的临时...
进行SAML角色SSO时，通过调用AssumeRoleWithSAML接口，获取扮演RAM角色的临时身份凭证（STS Token）。接口说明 前提条件 确保已从外部身份提供商（IdP）获取到 SAML 响应。确保已在 RAM 中创建了 SAML 身份提供商。具体操作，请参见 创建 ...
使用OneLogin进行角色SSO的示例
本文提供一个以OneLogin与阿里云进行角色SSO的示例，帮助您理解企业IdP与阿里云进行角色SSO的端到端配置流程。背景信息 本示例中，企业拥有一个阿里云账号、一个OneLogin管理员用户和多个OneLogin普通用户。您希望经过配置，使OneLogin普通...
AssumeRoleWithOIDC-OIDC角色SSO时获取扮演角色的临时...
进行OIDC角色SSO时，通过调用AssumeRoleWithOIDC接口，获取扮演RAM角色的临时身份凭证（STS Token）。接口说明 前提条件 确保已从外部身份提供商（IdP）获取到 OIDC 令牌（OIDC Token）。确保已在 RAM 中创建了 OIDC 身份提供商。具体操作...
GetAccountSummary-查询主账号概览信息
5 RolesQuota integer 允许创建 RAM 角色的最大数量。1000 UsersQuota integer 允许创建 RAM 用户的最大数量。1000 Policies integer 自定义策略数量。13 Users integer RAM 用户数量。9 MFADevicesInUse integer 使用中的虚拟多因素认证...
单点登录（SSO）常见问题
因RAM用户名存在字符限制，只能包含英文字母、数字和特殊字符-_.，最多64个字符，所以IdP中的用户名需要遵从RAM的这个字符限制。如果不满足，请尝试以下方法：修改IdP中的用户名，使其符合RAM的字符要求。修改IdP单点登录配置中唯一标识...
权限策略判定流程
当RAM身份（RAM用户或RAM角色）通过阿里云控制台、API或CLI发起资源访问请求时，都需要执行权限策略的判定流程，根据判定结果决定是否允许访问。本文为您介绍阿里云的权限策略判定流程。概述 阿里云支持多种类型的权限策略。一次完整的权限...
OIDC角色SSO概览
OIDC（OpenID Connect）是建立在OAuth 2.0基础上的一个认证协议，阿里云RAM支持基于OIDC的角色SSO。基本概念 概念 说明 OIDC OIDC（OpenID Connect）是建立在 OAuth 2.0 基础上的一个认证协议。OAuth是授权协议，而OIDC在OAuth协议上构建了...
为RAM用户绑定标签
您可以为RAM用户绑定标签，便于基于标签的RAM用户管理。背景信息 您可以通过以下两种方式为成员绑定标签：在创建RAM用户时，直接绑定标签。具体操作，请参见 创建RAM用户。为现有RAM用户绑定标签，支持单个和批量绑定。本文以此为例进行...
AliyunNASRolePolicy
AliyunNASRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略详情 类型：...
AliyunRDSImportRolePolicy
AliyunRDSImportRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略详情 ...
AliyunRDSImportRolePolicy
AliyunRDSImportRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略详情 ...
AliyunNASLogArchiveRolePolicy
AliyunNASLogArchiveRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略...
AliyunRDSNotificationRolePolicy
AliyunRDSNotificationRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略...
AliyunRDSNotificationRolePolicy
AliyunRDSNotificationRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略...
AliyunCDNLoggingRolePolicy
AliyunCDNLoggingRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略详情 ...
AliyunDCDNLogPushOSSRolePolicy
AliyunDCDNLogPushOSSRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略...
AliyunOpenSearchOsepRolePolicy
AliyunOpenSearchOsepRolePolicy 是专用于服务角色的授权策略，通常会在创建对应的服务角色时同步完成授权，以允许服务角色代您访问其他云服务。本策略由对应的阿里云服务按需更新，请勿将本策略授权给服务角色之外的 RAM 身份使用。策略...
- 产品推荐
- 这些文档可能帮助您