AssumeRole_安全令牌_API文档

前提条件

该接口不能使用阿里云账号（主账号）调用，只能使用 RAM 用户或 RAM 角色调用，请确保已为调用者（RAM 用户或 RAM 角色）授予 STS 的管理权限（AliyunSTSAssumeRoleAccess）。

否则，会报如下错误：

You are not authorized to do this action. You should be authorized by RAM.

问题原因和解决方法如下：

• 该调用者缺少允许 STS 扮演角色的权限策略：请为该调用者添加系统策略（AliyunSTSAssumeRoleAccess）或自定义策略。具体操作，请参见能否指定 RAM 用户具体可以扮演哪个 RAM 角色、为 RAM 用户授权。
• RAM 角色的信任策略不包含调用者，即 RAM 角色不允许该调用者扮演：请为 RAM 角色添加允许该调用者扮演的信任策略。具体操作，请参见修改 RAM 角色的信任策略。

最佳实践

STS Token 自颁发后将在一段时间内有效，建议您设置合理的 Token 有效期，并在有效期内重复使用，以避免业务请求速率上升后，STS Token 颁发的速率限制影响到业务。具体速率限制，请参见 STS 服务调用次数是否有上限。您可以通过请求参数DurationSeconds设置 Token 有效期。

在移动端上传或下载 OSS 文件等场景下，其访问量较大，即使重复使用 STS Token 也可能无法满足限流要求。为避免 STS 的限流成为 OSS 访问量的瓶颈，您可以尝试 OSS 的在 URL 中包含签名的方案。更多信息，请参见在 URL 中包含签名和服务端签名后直传。