安徽阿里企业邮箱-RAM角色应用场景

 1.临时授权访问

  通常情况下，建议您通过服务端调用API，尽可能保证访问密钥不被泄露。但是有些上传文件的场景最好采用客户端直传的形式，避免服务端中转带来的多余开销。此时，可以由服务端下发临时安全令牌（STS Token），客户端通过临时安全令牌（STS Token）进行资源直传。

 2.跨账号访问

  当您拥有多个阿里云账号，例如：账号A和账号B，希望实现账号A访问账号B的指定资源。此时，您可以在账号B下创建可信实体为账号A的RAM角色，并授权允许账号A下的某个RAM用户或RAM角色可以扮演该角色，然后通过该角色访问账号B的指定资源。

 3.跨服务访问

  在某些场景下，一个云服务为了完成自身的某个功能，需要获取其他云服务的访问权限。例如：配置审计（Config）服务要读取您的云资源信息，以获取资源列表和资源配置变更历史，就需要获取ECS、RDS等产品的访问权限。此时，您可以创建可信实体为阿里云服务的RAM角色解决该问题。推荐您优先使用服务关联角色，对于不支持服务关联角色的云服务，请使用普通服务角色。

 4.单点登录（角色SSO）

  阿里云与企业进行角色SSO时，阿里云是服务提供商（SP），而企业自有的身份管理系统则是身份提供商（IdP）。通过角色SSO，企业可以在本地IdP中管理员工信息，无需进行阿里云和企业IdP间的用户同步，企业员工将使用指定的RAM角色登录阿里云。此时，您可以创建可信实体为身份提供商的RAM角色解决该问题。