传递会话标签

目前您只能在STS的AssumeAgency API中通过tags参数传递会话标签，在IAM控制台切换信任委托时不支持传递会话标签。您还可以在AssumeAgency API中通过transitive_tag_keys参数将会话标签设置为可传递（transitive），这样在委托链中，这些会话标签将持续存在。详细信息可以参考获取临时安全凭证，如果满足以下条件，则传递会话标签的AssumeAgency API调用会失败：

• 您传递的会话标签tags数量超过20个。
• 会话标签tags中键的纯文本超过128个字符。
• 会话标签tags中值的纯文本超过255个字符。
• 传递会话标签transitive_tag_keys数量超过20个。

在使用会话标签前，请了解以下关于会话标签的细节：

• 当使用会话标签时，准备切换信任委托的主体（IAM用户或信任委托）附加的身份策略和目标信任委托的信任策略必须都包含sts::tagSession授权项，否则AssumeAgency操作将失败。
• 会话标签采用键值对形式。例如，若要在会话中添加联系信息，可以设置标签键为email，标签值为xxxxxx@example.com。
• 在使用委托链时（一个信任委托切换到另外一个信任委托）无法使用相同的会话标签键覆盖原有的会话标签的值。
• 您无法在IAM控制台切换信任委托时传递会话标签。
• 会话标签仅对当前会话有效。
• 会话标签支持委托链。默认情况下，STS不会将标签传递至后续信任委托会话，但您可以将会话标签设置为可传递，使标签在委托链中持续存在。
• 您可以使用g:PrincipalTag条件键来控制委托会话对华为云资源的访问。

要想设置会话标签，除了需要与AssumeAgency API相匹配的sts:agencies:assume授权项外，您的策略中还必须具有以下授权项：

sts::tagSession

• 在IAM用户切换信任委托的场景中，要指定会话标签，IAM用户的身份策略和信任委托的信任策略都必须包含sts::tagSession权限。
• 在信任委托切换信任委托的场景中，要指定会话标签，发起切换的信任委托的身份策略和目标信任委托的信任策略都必须包含sts::tagSession权限。

作为账号管理员，假设您希望允许账号内的IAM用户A切换到同一账号中的TrustAgencyA信任委托，且在切换时允许传递会话标签。您可以将以下身份策略附加到该IAM用户：

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Allow",
		"Action": [
			"sts:agencies:assume",
			"sts::tagSession"
		]
	}]
}

要想主体切换信任委托时可以传递会话标签，您可以在创建信任委托A时配置如下的信任策略：

{
	"Version": "5.0",
	"Statement": [{
		"Action": [
			"sts:agencies:assume",
			"sts::tagSession"
		],
		"Effect": "Allow",
		"Principal": {
			"IAM": [
				"Account A ID"
			]
		}
	}]
}

可以在信任委托身上附加身份策略要求满足g:PrincipalTag/Team=1时才拥有IAM访问权限，策略示例如下：

{
	"Version": "5.0",
	"Statement": [{
		"Effect": "Allow",
		"Action": [
			"iam:*:*"
		],
		"Condition": {
			"StringEquals": {
				"g:PrincipalTag/Team": [
					"1"
				]
			}
		}
	}]
}

如果信任委托本身没有Team=1的委托标签，那么在调用AssumeAgency API切换信任委托时，只有在tags参数中填写key=Team，value=1时获取的临时安全凭证会话才拥有访问IAM的权限，AssumeAgency API请求体示例如下：

{
	"agency_urn": "iam::account_id:agency:agency_name",
	"agency_session_name": "session_name",
	"tags": [{
		"key": "Team",
		"value": "1"
	}]
}