通过使用SAML协议SSO的信任委托获取临时安全凭证 - AssumeAgencyWithSAML

sts:agencies:assumeWithSAML

Write

agency *

g:ResourceTag/<tag-key>

-

• sts::tagSession
• sts::setSourceIdentity

-

• saml:namequalifier

• saml:sub

• saml:sub_type

• saml:aud

• saml:iss

• g:TagKeys

• g:RequestTag/<tag-key>

• sts:TransitiveTagKeys

• sts:SourceIdentity

• sts:AgencySessionName

duration_seconds

否

Integer

参数解释：

获得的临时安全凭证的有效时间（单位：秒）。

约束限制：

获得的临时安全凭证的有效时间（单位：秒）。请注意，该时间需要小于信任委托本身设置的最大会话持续时间。同时最终的会话持续时间以duration_seconds， SAML身份验证响应中SessionNotOnOrAfter值和SessionDuration值三者中较短的一个为准。

取值范围：

取值范围为[900,43200]。

默认取值：

默认值为3600。

policy

否

String

参数解释：

自定义策略，参考链接。

约束限制：

本次会话获得的临时安全凭证的权限范围不会超过该自定义策略指定的权限。

长度范围为[2,2048]。

取值范围：

不涉及。

默认取值：

不涉及。

policy_ids

否

Array of strings

参数解释：

预置策略列表，限制本次会话获得的临时安全凭证的权限范围不会超过该预置策略指定的权限。

约束限制：

不涉及。

取值范围：

不涉及。

默认取值：

不涉及。

provider_urn

是

String

参数解释：

SAML提供商的URN。

约束限制：

长度范围为[0,1500]。

取值范围：

不涉及。

默认取值：

不涉及。

agency_urn

是

String

参数解释：

目标信任委托的URN。

约束限制：

长度范围为[0,1500]。

取值范围：

不涉及。

默认取值：

不涉及。

saml_assertion

是

String

参数解释：

由SAML身份提供商提供的Base64编码的SAML身份验证响应。

约束限制：

长度范围为[4,100000]。

取值范围：

不涉及。

默认取值：

不涉及。

source_identity

String

参数解释：

SAML断言中SourceIdentity属性值所申明的身份。

约束限制：

不涉及。

assumed_agency

AssumedAgencyWithFederationDto object

参数解释：

信任委托会话信息。

取值范围：

不涉及。

credentials

CredentialsDto object

参数解释：

生成的临时安全凭证。

取值范围：

不涉及。

audience

String

参数解释：

SAML断言中SubjectConfirmationData元素的Recipient属性值。

约束限制：

不涉及。

issuer

String

参数解释：

SAML断言中Issuer元素的值。

约束限制：

不涉及。

name_qualifier

String

参数解释：

以下三部分的哈希值：issuer、华为云账号的Account ID以及IAM中SAML提供商的名称（URN的最后一部分）。name_qualifier和subject的组合可用于唯一标识用户。下面的伪代码展示了哈希值的计算方式：BASE64 ( SHA1 ( "https://example.com/saml" + "8c1eef3a241945f69c3d3axxxxxxxxxx" + "/MySAMLIdPName" ) )

约束限制：

不涉及。

subject

String

参数解释：

SAML断言中Subject元素的NameID元素的值。

约束限制：

不涉及。

subject_type

String

参数解释：

NameID的格式，由SAML断言中NameID元素的Format属性定义。格式的典型示例是transient（临时）或persistent（持久）。 如果该格式包含前缀urn:oasis:names:tc:SAML:2.0:nameid-format，该前缀将被移除。例如，urn:oasis:names:tc:SAML:2.0:nameid-format:transient将作为transient返回。如果格式包含任何其他前缀，则直接返回该格式而不作任何修改。

约束限制：

不涉及。

urn

String

参数解释：

信任委托会话的URN。

取值范围：

不涉及。

id

String

参数解释：

信任委托会话的唯一标识，包含了信任委托ID和信任委托会话名称信息。

取值范围：

不涉及。

access_key_id

String

参数解释：

临时安全凭证的AK。

取值范围：

不涉及。

expiration

String

参数解释：

临时安全凭证的失效时间。

取值范围：

不涉及。

secret_access_key

String

参数解释：

临时安全凭证的SK。

取值范围：

不涉及。

security_token

String

参数解释：

临时安全凭证的security_token。

取值范围：

不涉及。

error_code

String

参数解释：

错误码，请参见错误码。

取值范围：

格式为STS5.XXXX，例如 STS5.1001。

error_msg

String

参数解释：

错误信息，请参见错误信息。

取值范围：

不涉及。

error_code

String

参数解释：

错误码， 请参见错误码。

取值范围：

格式为STS5.XXXX， 例如 STS5.1001。

error_msg

String

参数解释：

错误信息， 请参见错误信息。

取值范围：

不涉及。

encoded_authorization_message

String

参数解释：

认证失败时返回的加密详细信息，用于定位认证问题。 可以通过STS5解密接口进行解密，接口链接。

取值范围：

不涉及。

error_code

String

参数解释：

错误码，请参见错误码。

取值范围：

格式为STS5.XXXX，例如 STS5.1001。

error_msg

String

参数解释：

错误信息，请参见错误信息。

取值范围：

不涉及。

error_code

String

参数解释：

错误码，请参见错误码。

取值范围：

格式为STS5.XXXX，例如 STS5.1001。

error_msg

String

参数解释：

错误信息，请参见错误信息。

取值范围：

不涉及。

200

请求成功。

400

请求体异常。

403

没有操作权限。

404

未找到对应资源。

500

服务端异常。