访问控制STS介绍

阿里云STS（Security Token Service）是阿里云提供的一项安全服务，它允许您为非阿里云账号体系内的用户（即联盟用户）安全地授予临时访问权限，以便他们能够访问特定的阿里云资源。下面是对您提到内容的进一步解释和补充：

访问点

• 默认访问点地址：https://sts.aliyuncs.com 是STS服务的标准接入地址，所有与STS相关的API请求都应通过这个HTTPS端点发起。确保使用HTTPS协议是为了保证数据传输的安全性。

术语表

Federated identity（联盟用户身份）

• 指的是由您的企业或应用自身管理认证信息的用户。这些用户不在阿里云的IAM（Identity and Access Management）系统中直接管理，但通过STS可以临时获得访问阿里云资源的权限。

Policy（访问策略）

• 这是一种定义访问控制规则的语言，用于详细说明被授权者可以进行哪些操作、在哪些资源上执行这些操作以及操作的有效时间等。Policy通过JSON格式编写，是STS服务中用来控制权限的核心组件。

Grantor（授权者）

• 授权者是指拥有权限颁发STS令牌的实体，这可以是阿里云账号的主账号或者该账号下创建的RAM（Resource Access Management）用户。Grantor决定了哪些权限可以被授予给联盟用户。

Name（被授权者）

• 被授权者指的是实际使用STS短期访问凭证来访问阿里云资源的实体，也就是您的联盟用户。尽管在STS的上下文中没有直接体现“Name”，但通常理解为接收并使用Token进行操作的用户身份。

使用流程简述

1. 创建Policy：首先，作为授权者，需要定义一个详细的访问策略，明确允许哪些操作、针对哪些资源以及有效时长。
2. 请求临时凭证：联盟用户通过客户端或其他方式向您的系统请求访问阿里云资源的权限。
3. 颁发Token：您的系统作为授权者，根据预设的Policy，通过调用STS API向阿里云请求临时安全凭证（包括AccessKey ID、AccessKey Secret和Security Token）。
4. 使用凭证：联盟用户收到临时凭证后，在有效期内可以直接使用这些凭证调用阿里云API或登录控制台，访问被授权的资源。
5. 自动过期：STS临时凭证具有时效性，一旦过期，用户将无法继续使用这些凭证访问资源，从而实现细粒度和短周期的权限控制。

通过STS，您可以灵活且安全地管理外部用户的访问权限，无需分享长期密钥，提高了系统的安全性与灵活性。