`AssumeRoleWithLDAPIdentity`

MinIO Security Token Service (STS) AssumeRoleWithLDAPIdentity API 端点使用 Active Directory 或 LDAP 用户凭据生成临时访问凭据。本文档介绍 MinIO 服务端 AssumeRoleWithLDAPIdentity 端点。有关如何使用兼容 S3 的 SDK 实现 STS，请参考对应 SDK 的文档。

MinIO STS AssumeRoleWithLDAPIdentity API 端点以 AWS AssumeRoleWithWebIdentity 端点为模型，并共享部分请求/响应元素。本文档介绍 MinIO 特有的语法，并为所有共享元素提供指向 AWS 参考文档的链接。

请求端点

AssumeRoleWithLDAPIdentity 端点格式如下：

POST https://minio.example.net?Action=AssumeRoleWithLDAPIdentity[&ARGS]

以下示例使用了所有受支持参数。请将 minio.example.net 主机名替换为你的 MinIO 集群对应的 URL：

POST https://minio.example.net?Action=AssumeRoleWithLDAPIdentity
&LDAPUsername=USERNAME
&LDAPPassword=PASSWORD
&Version=2011-06-15
&Policy={}

请求查询参数

该端点支持以下查询参数：

参数	类型	说明
`LDAPUsername`	string	必需指定要进行认证的 AD/LDAP 用户名。
`LDAPPassword`	string	必需指定 `LDAPUsername` 对应的密码。
`Version`	string	必需指定 `2011-06-15`。
`DurationSeconds`	integer	可选指定临时凭据在多少秒后过期。默认值为 `3600`。最小值为 ``900``（15 分钟）。最大值为 ``604800``（7 天）。如果省略 `DurationSeconds`，MinIO 在使用默认时长前会先检查 JWT token 中是否包含 `exp` claim。有关 JSON web token 过期时间的更多信息，请参见 RFC 7519 4.1.4: Expiration Time Claim。
`Policy`	string	可选指定 URL 编码的 JSON 格式 policy，作为内联会话策略使用。最小字符串长度为 `1`。最大字符串长度为 `2048`。临时凭据的最终权限是以下两者的交集：与 `LDAPUsername` 的 Distinguished Name (DN) 匹配的 policy，以及指定的内联策略。应用只能执行其被明确授权的操作。内联策略可以指定 DN 策略允许权限的子集。应用可获取的权限绝不会超过 DN 策略中定义的权限。省略该参数则仅使用 DN 策略。有关 MinIO 认证与授权的更多信息，请参见 Access Management。

响应元素

此 API 端点的 XML 响应与 AWS 的 AssumeRoleWithLDAPIdentity response. 类似。具体而言，MinIO 返回 AssumeRoleWithLDAPIdentityResult 对象，其中 AssumedRoleUser.Credentials 对象包含 MinIO 生成的临时凭据：

AccessKeyId - 应用用于认证的访问密钥。
SecretKeyId - 应用用于认证的密钥。
Expiration - 凭据过期时间，采用 RFC3339 日期时间格式。
SessionToken - 应用用于认证的会话令牌。某些 SDK 在使用临时凭据时可能需要此字段。

以下示例与 MinIO STS AssumeRoleWithLDAPIdentity 端点返回的响应类似：

<?xml version="1.0" encoding="UTF-8"?>
<AssumeRoleWithLDAPIdentityResponse xmlns="https://sts.amazonaws.com/doc/2011-06-15/">
<AssumeRoleWithLDAPIdentityResult>
   <AssumedRoleUser>
      <Arn/>
      <AssumeRoleId/>
   </AssumedRoleUser>
   <Credentials>
      <AccessKeyId>Y4RJU1RNFGK48LGO9I2S</AccessKeyId>
      <SecretAccessKey>sYLRKS1Z7hSjluf6gEbb9066hnx315wHTiACPAjg</SecretAccessKey>
      <Expiration>2019-08-08T20:26:12Z</Expiration>
      <SessionToken>eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJhY2Nlc3NLZXkiOiJZNFJKVTFSTkZHSzQ4TEdPOUkyUyIsImF1ZCI6IlBvRWdYUDZ1Vk80NUlzRU5SbmdEWGo1QXU1WWEiLCJhenAiOiJQb0VnWFA2dVZPNDVJc0VOUm5nRFhqNUF1NVlhIiwiZXhwIjoxNTQxODExMDcxLCJpYXQiOjE1NDE4MDc0NzEsImlzcyI6Imh0dHBzOi8vbG9jYWxob3N0Ojk0NDMvb2F1dGgyL3Rva2VuIiwianRpIjoiYTBiMjc2MjktZWUxYS00M2JmLTg3MzktZjMzNzRhNGNkYmMwIn0.ewHqKVFTaP-j_kgZrcOEKroNUjk10GEp8bqQjxBbYVovV0nHO985VnRESFbcT6XMDDKHZiWqN2vi_ETX_u3Q-w</SessionToken>
   </Credentials>
</AssumeRoleWithLDAPIdentityResult>
<ResponseMetadata/>
</AssumeRoleWithLDAPIdentityResponse>

错误元素

此 API 端点的 XML 错误响应与 AWS 的 AssumeRoleWithLDAPIdentity response.