Obtenção de uma chave de acesso temporária e de um token de segurança por meio de uma agência

Função

Essa API é usada para obter uma chave de acesso temporária e um token de segurança usando uma agência.

Chaves de acesso temporárias e tokens de segurança são emitidos pelo sistema para usuários do IAM e podem ser válidos por 15 minutos a 24 horas. A chave de acesso temporária e o token de segurança seguem o princípio do menor privilégio. Uma chave de acesso temporária deve ser usada junto com um token de segurança, e o campo x-security-token deve ser incluído no cabeçalho da solicitação. Para obter detalhes, consulte Como usar uma AK/SK temporária para assinar solicitações?

A API pode ser chamada usando o ponto de extremidade global e pontos de extremidade da região específica. Para pontos de extremidade do IAM, consulte Regiões e pontos de extremidade.

URI

POST /v3.0/OS-CREDENTIAL/securitytokens

Parâmetros de solicitação

Tabela 7 auth.identity.policy

Parâmetro	Obrigatório	Tipo	Descrição
Version	Sim	String	Versão da política. Ao criar uma política personalizada, defina esse parâmetro como 1.1. NOTA: 1.1: política. Uma política define as permissões necessárias para executar operações em um recurso de nuvem específico sob determinadas condições.
Statement	Sim	Array of objects	Declaração da política. Uma política pode conter um máximo de oito declarações.

Tabela 8 auth.identity.policy.Statement

Parâmetro	Obrigatório	Tipo	Descrição
Action	Sim	Array of strings	Permissões de operações específicas em um recurso. Para obter detalhes sobre as ações suportadas, consulte "Permissões e ações suportadas" na Referência de API de serviços em nuvem. NOTA: O formato do valor é Service name:Resource type:Operation, por exemplo, vpc:ports:create. Service name: indica o nome do produto, como ecs, evs ou vpc. Somente letras minúsculas são permitidas. Os tipos de recursos e as operações não diferenciam maiúsculas de minúsculas. Você pode usar um asterisco (*) para representar todas as operações.
Effect	Sim	String	Efeito da permissão. O valor pode ser Allow ou Deny. Se as declarações Allow e Deny forem encontradas em uma política, a autenticação começará a partir das declarações Deny. Opções: Allow Deny
Condition	Não	Map<String,Map<String,Array<String>>>	Condições para que a permissão entre em vigor. Para obter detalhes, consulte Criação de uma política personalizada. NOTA: Tome a condição na solicitação de exemplo como um exemplo, os valores da chave de condição (obs:prefix) e cadeia (public) devem ser iguais (StringEquals). "Condition": { "StringEquals": { "obs:prefix": [ "public" ] } }
Resource	Não	Array of strings	Recursos em nuvem. NOTA: Formato: Service name:Region:Account ID:Resource type:Resource path. Caracteres curinga (*) são suportados. Por exemplo, obs:*:*:bucket:* significa todos os buckets do OBS. O segmento de região pode ser * ou uma região acessível ao usuário. O recurso especificado deve pertencer ao serviço correspondente que realmente existe.

Parâmetros de resposta

Exemplo de solicitação

• Solicitação com session_user especificado (contendo o nome de usuário empresarial da parte delegante)

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600,
                  "session_user": {
                      "name": "SessionUserName"
                  }
              }
          }
      }
  }
• Solicitação com policy definido para controlar as permissões atribuídas à chave de acesso temporária e ao token de segurança obtidos (atualmente, a política se aplica apenas ao OBS). As permissões finais da chave de acesso temporária e do token de segurança são a interseção de permissões atribuídas à agência especificada e definidas em policy.

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "policy": {
                        "Version": "1.1",
  		       "Statement": [{
  			 "Effect": "allow",
  			 "Action": [
                           "obs:object:*"
                           ],
  			 "Resource": ["obs:*:*:object:*"],
  			 "Condition": {
  			    "StringEquals": {
  				"obs:prefix": ["public"]
  				}
  			}
  		}]
               },
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
  
              }
          }
      }
  }

• Solicitação sem session_user e policy especificado

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
              }
          }
      }
  }

Exemplo de resposta

Código de status: 201

A solicitação foi bem-sucedida.

As respostas a todas as solicitações anteriores são as mesmas, independentemente de session_user ser especificado ou não. Se session_user for especificado, o token de segurança conterá as informações correspondentes do usuário empresarial.

{
    "credential": {
        "access": "E6DX0TF2ZREQ4Z...",
        "expires_at": "2020-01-08T02:56:19.587000Z",
        "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw....",
        "securitytoken": "gQpjbi1ub3J0aC0..."
    }
}

Códigos de status

Códigos de erro

Nenhum