资源访问管理服务RAMSTS用户指南.PDFVIP

资源访问管理服务RAM STS用户指南 资源访问管理服务RAM/STS用户指南 STS用户指南 STS简介 什么是安全令牌服务(STS)? 阿里云STS (Security Token Service) 是为阿里云账号（或RAM用户）提供短期访问权限管理的云服务。通过 STS，您可以为联盟用户（您的本地账号系统所管理的用户）颁发一个自定义时效和访问权限的访问凭证。联 盟用户可以使用STS短期访问凭证直接调用阿里云服务API，或登录阿里云管理控制台操作被授权访问的资源。 什么是联盟用户 ？ 联盟用户(Federated User)是指客户本地身份系统所管理的用户，比如您的App的用户、您的企业本 地账号、第三方App。 为什么要使用短期访问凭证？ 使用短期访问凭证可以满足对联盟用户的最小化授权，有效降低安全风险： 您不需要透露云账号（或RAM用户）的长期密钥（如登录密码、AccessKey）给第三方应用，只需要 生成一个短期访问凭证给联盟用户使用即可。这个凭证的访问权限及有效期限都可以由您自定义。 您不需要关心权限撤销问题，访问凭证过期后会自动失效。 典型应用场景 授权您的联盟用户访问云资源 支持STS的云服务列表 开放存储服务（Open Storage Service，OSS） 更多服务敬请期待 STS服务费用 STS服务是阿里云提供的基础访问控制服务，使用者无需额外付费。持有STS短期凭证访问云资源所产生的费用 会被计入授权人所属云账户的账单中。 典型应用场景 授权您的联盟用户访问云资源 1 资源访问管理服务RAM/STS用户指南 授权您的联盟用户访问云资源 联盟用户是指客户本地身份系统所管理的用户。有多种应用场景都会涉及给联盟用户授权，比如给您的移动 App的终端用户授权、给您的企业本地域账号授权、以及给第三方App授权。本节我们将聚焦移动App的授权 场景来进行介绍。 授权您的移动App用户访问您的云资源 场景描述 假设您是一个移动App开发者，并且打算使用阿里云OSS服务来保存App的终端用户数据，并且要保证每个 App用户之间的数据隔离，防止一个App用户获取到其它App用户的数据。 如果没有STS服务，您可能有两种选择。 选择1：使用AppServer来做数据中转和数据隔离 如上图所示，您需要开发一个AppServer。只有AppServer能访问云服务，ClientApp的每次读写数据都需要通 过AppServer，AppServer还需要保证不同用户数据的隔离访问。 问题分析：这一方法的缺点是当App用户规 模较大的时候，AppServer的可用性、可扩展性和性能都会成为瓶颈。 选择2：使用AppServer做消息签名服务 您希望让ClientApp能直接从OSS读写数据，但由于数据隔离的需要，您不能将访问密钥传递给ClientApp，因 为终端用户设备并不可信。这一方法是利用AppServer做消息签名服务，当ClientApp每次请求OSS API时，都 需要先从AppServer处获得一个有效的API消息签名，如下图所示： 问题分析：AppServer充当了一个API消息签名服务，其缺点是，当App用户规模较大时，AppServer提供签名 服务也存在可用性和性能瓶颈；而且ClientApp需要先访问AppServer再访问OSS，这样也会增加数据操作的延 时。 由于上述两种方法都存在一些缺陷，我们建议您使用STS方案来解决这一问题。