Obtención de una clave de acceso temporal y un token de seguridad a través de una delegación

Función

Esta API se utiliza para obtener una clave de acceso temporal y un token de seguridad mediante una delegación.

Las claves de acceso temporal y los tokens de seguridad son emitidos por el sistema a los usuarios de IAM, y pueden ser válidos durante 15 minutos a 24 horas. La clave de acceso temporal y el token de seguridad siguen el principio de privilegio mínimo. Se debe usar una clave de acceso temporal junto con un token de seguridad, y el campo x-security-token debe incluirse en el encabezado de solicitud. Para obtener más información, consulte ¿Cómo uso un AK/SK temporal para firmar solicitudes?

Se puede invocar a la API utilizando tanto el punto de conexión global como los puntos de conexión específicos de la región. Para los puntos de conexión de IAM, consulte Regiones y puntos de conexión.

URI

POST /v3.0/OS-CREDENTIAL/securitytokens

Parámetros de solicitud

Tabla 7 auth.identity.policy

Parámetro	Obligatorio	Tipo	Descripción
Version	Sí	String	Versión de política. Al crear una política personalizada, establezca este parámetro en 1.1. NOTA: 1.1: Política. Una política define los permisos necesarios para realizar operaciones en un recurso de nube específico bajo ciertas condiciones.
Statement	Sí	Array of objects	Sentencia de la política. Una política puede contener un máximo de ocho sentencias.

Tabla 8 auth.identity.policy.Statement

Parámetro	Obligatorio	Tipo	Descripción
Action	Sí	Array of strings	Permisos de operación específicos en un recurso. Para obtener más información sobre las acciones admitidas, consulta "Permisos y acciones admitidas" en la Referencia de API de servicios en la nube. NOTA: El formato de valor es Service name:Resource type:Operation, por ejemplo, vpc:ports:create. Service name: indica el nombre del producto, como ecs, evs, o vpc. Solo se permiten letras minúsculas. Los tipos de recursos y las operaciones no distinguen entre mayúsculas y minúsculas. Puede utilizar un asterisco (*) para representar todas las operaciones.
Effect	Sí	String	Efectos del permiso. El valor puede ser Allow o Deny. Si las sentencias Allow y Deny se encuentran en una política, la autenticación comienza desde las sentencias Deny. Opciones: Allow Deny
Condition	No	Map<String,Map<String,Array<String>>>	Condiciones para que el permiso entre en vigor. Para obtener más información, consulte Creación de una política personalizada. NOTA: Tome la condición en la solicitud de ejemplo como un ejemplo, los valores de la clave de condición (obs:prefix) y cadena (public) deben ser iguales (StringEquals). "Condition": { "StringEquals": { "obs:prefix": [ "public" ] } }
Resource	No	Array of strings	Recurso en la nube. NOTA: Formato: Service name:Region:Account ID:Resource type:Resource path. Se admiten caracteres comodín (*). Por ejemplo, obs:*:*:bucket:* significa todos los buckets OBS. El segmento de región puede ser * o una región accesible para el usuario. El recurso especificado debe pertenecer al servicio correspondiente que realmente existe.

Parámetros de respuesta

Solicitud de ejemplo

• Solicitud con session_user especificado (que contiene el nombre de usuario de empresa de la parte delegada)

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600,
                  "session_user": {
                      "name": "SessionUserName"
                  }
              }
          }
      }
  }
• Solicitud con policy establecida para controlar los permisos asignados a la clave de acceso temporal y al token de seguridad obtenidos (actualmente, la política se aplica solo a OBS). Los permisos finales de la clave de acceso temporal y el token de seguridad son la intersección de los permisos asignados a la delegación especificada y definidos en policy.

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "policy": {
                        "Version": "1.1",
  		       "Statement": [{
  			 "Effect": "allow",
  			 "Action": [
                           "obs:object:*"
                           ],
  			 "Resource": ["obs:*:*:object:*"],
  			 "Condition": {
  			    "StringEquals": {
  				"obs:prefix": ["public"]
  				}
  			}
  		}]
               },
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
  
              }
          }
      }
  }

• Solicitud sin session_user y policy especificadas

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
              }
          }
      }
  }

Ejemplo de respuesta

Código de estado: 201

La solicitud se ha realizado correctamente.

Las respuestas a todas las solicitudes anteriores son las mismas independientemente de si se especifica session_user o no. Si se especifica session_user, el token de seguridad contiene la información de usuario de empresa correspondiente.

{
    "credential": {
        "access": "E6DX0TF2ZREQ4Z...",
        "expires_at": "2020-01-08T02:56:19.587000Z",
        "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw....",
        "securitytoken": "gQpjbi1ub3J0aC0..."
    }
}

Códigos de estado

Códigos de error

Ninguno