2.3.11. 安全令牌服务
Amazon Web Services 的安全令牌服务(STS)返回一组临时安全凭证来验证用户。Ceph 对象网关实施 STS 应用程序编程接口(API)的子集，为身份和访问管理(IAM)提供临时凭证。使用这些临时凭证，通过在 Ceph 对象网关中使用 STS 引擎来验证 S3 调用。您可以使用 IAM 策略限制临时凭证，该策略是传递给 STS API 的参数。
其它资源
- Amazon Web Services Secure Token Service 欢迎页面。
- 有关 STS Lite 和 Keystone 的详细信息，请参阅 Red Hat Ceph Storage 开发者指南中的" 配置并使用 STS Lite" 一节。
- 有关 STS Lite 和 Keystone 的限制，请参阅 Red Hat Ceph Storage Developer Guide 的使用 STS Lite 和 Keystone 的限制。
2.3.11.1. 安全令牌服务应用程序编程接口
Ceph 对象网关实施下列安全令牌服务(STS)应用程序编程接口(API)：
AssumeRole
此 API 返回一组临时凭证，用于跨帐户访问。这些临时凭证都允许，附加了 AssumeRole API 的 Role 和策略的权限策略。RoleArn 和 RoleSessionName 请求参数是必需的，但其他请求参数是可选的。
RoleArn- 描述
- 假定为 Amazon 资源名(ARN)的角色，长度为 20 到 2048 个字符。
- Type
- 字符串
- 必需
- 是
RoleSessionName- 描述
-
识别要假定的角色会话名称。当不同的主体或不同的原因假设角色时，角色会话名称可以唯一标识一个会话。此参数的值的长度为 2 到 64 个字符。允许
=、、、、、@和-字符，但不允许有空格。 - Type
- 字符串
- 必需
- 是
policy- 描述
- 以 JSON 格式的身份和访问管理策略(IAM)，用于在内联会话中使用。此参数的值的长度为 1 到 2048 个字符。
- Type
- 字符串
- 必需
- 否
DurationSeconds- 描述
-
会话持续时间（以秒为单位），最小值为
900秒，最大值为43200秒。默认值为3600秒。 - Type
- 整数
- 必需
- 否
ExternalId- 描述
- 假设另一个帐户的角色时，请提供一个唯一的外部标识符（如果可用）。这个参数的值的长度为 2 到 1224 个字符。
- Type
- 字符串
- 必需
- 否
SerialNumber- 描述
- 用户从关联的多因素身份验证(MFA)设备识别号。参数的值可以是硬件设备或虚拟设备的序列号，长度为 9 到 256 个字符。
- Type
- 字符串
- 必需
- 否
TokenCode- 描述
- 如果信任策略需要 MFA，则从多因素身份验证(MFA)设备生成的值。如果需要 MFA 设备，如果此参数的值为空或过期，则 AssumeRole 调用会返回 "access denied" 错误消息。这个参数的值的固定长度为 6 个字符。
- Type
- 字符串
- 必需
- 否
AssumeRoleWithWebIdentity
此 API 为应用进行身份验证的用户返回一组临时凭据，如 OpenID Connect 或 OAuth 2.0 身份提供程序。RoleArn 和 RoleSessionName 请求参数是必需的，但其他请求参数是可选的。
RoleArn- 描述
- 假定为 Amazon 资源名(ARN)的角色，长度为 20 到 2048 个字符。
- Type
- 字符串
- 必需
- 是
RoleSessionName- 描述
-
识别要假定的角色会话名称。当不同的主体或不同的原因假设角色时，角色会话名称可以唯一标识一个会话。此参数的值的长度为 2 到 64 个字符。允许
=、、、、、@和-字符，但不允许有空格。 - Type
- 字符串
- 必需
- 是
policy- 描述
- 以 JSON 格式的身份和访问管理策略(IAM)，用于在内联会话中使用。此参数的值的长度为 1 到 2048 个字符。
- Type
- 字符串
- 必需
- 否
DurationSeconds- 描述
-
会话持续时间（以秒为单位），最小值为
900秒，最大值为43200秒。默认值为3600秒。 - Type
- 整数
- 必需
- 否
ProviderId- 描述
- 身份提供程序中域名的完全限定主机组件。此参数的值仅对 OAuth 2.0 访问令牌有效，长度为 4 到 2048 个字符。
- Type
- 字符串
- 必需
- 否
WebIdentityToken- 描述
- 从身份提供程序提供的 OpenID Connect 身份令牌或 OAuth 2.0 访问令牌。此参数的值的长度为 4 到 2048 个字符。
- Type
- 字符串
- 必需
- 否
其它资源
- 如需了解更多详细信息，请参阅 Red Hat Ceph Storage 开发者指南中的使用 安全令牌服务 API 部分的示例。
- Amazon Web Services Security Token Service，AssumeRole 操作。
- Amazon Web Services Security Token Service，AssumeRoleWithWebIdentity 操作。
