通过委托获取临时访问密钥和securitytoken

功能介绍

该接口可以用于通过委托来获取临时访问密钥（临时AK/SK）和securitytoken。

临时AK/SK和securitytoken是系统颁发给IAM用户的临时访问令牌，有效期可在15分钟至24小时范围内设置，过期后需要重新获取。临时AK/SK和securitytoken遵循权限最小化原则。鉴权时，临时AK/SK和securitytoken必须同时使用，请求头中需要添加“x-security-token”字段，使用方法详情请参考：使用临时AK/SK做签名

该接口可以使用全局区域的Endpoint和其他区域的Endpoint调用。IAM的Endpoint请参见：地区和终端节点。

调试

您可以在API Explorer中调试该接口。

URI

POST /v3.0/OS-CREDENTIAL/securitytokens

请求参数

 "Condition": {
              "StringEquals": {
                "obs:prefix": [
                  "public"
                ]
              }
            }

响应参数

请求示例

• 填写"session_user"参数，即委托方对应的企业用户信息，包含委托方对应的企业用户名。

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600,
                  "session_user": {
                      "name": "SessionUserName"
                  }
              }
          }
      }
  }

• 填写"policy"参数，即用户自定义策略的信息，用于限制获取到的临时访问密钥和securitytoken的权限（当前仅适用限制OBS服务的权限）。如果填写此参数，则临时访问密钥和securitytoken的权限为：委托具有的权限和policy参数限制的权限交集。

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "policy": {
                        "Version": "1.1",
  		       "Statement": [{
  			 "Effect": "allow",
  			 "Action": [
                           "obs:object:*"
                           ],
  			 "Resource": ["obs:*:*:object:*"],
  			 "Condition": {
  			    "StringEquals": {
  				"obs:prefix": ["public"]
  				}
  			}
  		}]
               },
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
  
              }
          }
      }
  }

• 不填写"session_user"和policy参数。

  POST https://iam.myhuaweicloud.com/v3.0/OS-CREDENTIAL/securitytokens

  {
      "auth": {
          "identity": {
              "methods": [
                  "assume_role"
              ],
              "assume_role": {
                  "domain_name": "IAMDomainA",
                  "agency_name": "IAMAgency",
                  "duration_seconds": 3600
              }
          }
      }
  }

响应示例

状态码为 201 时:

创建成功。

无论session_user填写与否，返回都是相同的。若填写了session_user，则在securitytoken中包含了所填写的session_user信息。

{
    "credential": {
        "access": "E6DX0TF2ZREQ4Z...",
        "expires_at": "2020-01-08T02:56:19.587000Z",
        "secret": "w9ePum0qdfac39ErLD0UdjofYkqort6Iw....",
        "securitytoken": "gQpjbi1ub3J0aC0..."
    }
}

返回值

错误码

无