Function Compute:Usar un rol de función para acceder a otros servicios en la nube

Paso 1: crear un rol y otorgar permisos

1. Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, elija Roles > Create Role.

2. En la página Create Role, seleccione Cloud Service en Principal Type y Function Compute / FC en Principal Name. A continuación, haga clic en OK.

3. En el cuadro de diálogo Create Role que aparece, establezca el Role Name; por ejemplo, mytestrole. Luego, haga clic en OK. Esto lo redirige a la página de detalles del rol.

4. En la pestaña Permissions, haga clic en Grant Permission. En el panel Grant Permission, siga estos pasos para otorgar permisos al rol.

5. Seleccione el Resource Scope. De forma predeterminada, el Principal es el rol de destino. En la lista de directivas, seleccione la casilla junto a una directiva del sistema o personalizada para agregarla a la lista Selected Policies. Después, haga clic en OK. Para obtener más información, consulte Policies and examples.

   • Account: los permisos surten efecto dentro de la cuenta actual de Alibaba Cloud.

   • Resource Group: los permisos surten efecto dentro del resource group especificado. Esta opción solo está disponible si el servicio en la nube admite resource groups. Para obtener más información, consulte Cloud services that support resource groups.

   En este ejemplo, para gestionar OSS, debe agregar la directiva del sistema AliyunOSSFullAccess al nuevo rol.

Paso 2: vincular el rol a la función de destino

1. Inicie sesión en la consola de Function Compute. En el panel de navegación izquierdo, elija Function Management > Functions.

2. En la barra de menú superior, seleccione una región. En la página Functions, busque la función de destino y haga clic en Configuration en la columna Actions.

3. En la página de detalles de la función, seleccione la pestaña Configuration. En la sección Advanced Settings, haga clic en Modify. En el panel Advanced Settings, expanda la sección Permissions. En Function Role, seleccione el rol mytestrole que creó en Step 1. Luego, haga clic en Deploy.

Paso 3: probar la función

Compruebe si la función asociada al rol mytestrole tiene permisos para gestionar OSS.

1. En la página de lista de funciones, haga clic en la función de destino. En la pestaña Code, haga clic en la flecha junto a Test Function y seleccione Configure Test Parameters. A continuación se muestra un evento de prueba de ejemplo.

   {
      "endpoint": "http://oss-cn-hangzhou.aliyuncs.com",
      "bucket": "web****",
      "objectName": "myObj",
      "message": "your-message"
   }

   En este ejemplo, reemplace el valor de bucket con el nombre de su bucket, el cual debe estar en la misma región que la función.

2. En la pestaña Code, introduzca el código en el editor y haga clic en Deploy.

   Este ejemplo usa el entorno de ejecución de Python. El código utiliza las credenciales temporales proporcionadas por Function Compute para acceder a OSS.

   import json
   import oss2
   def handler(event, context):
       evt = json.loads(event)
       creds = context.credentials
       # Use the temporary credentials injected by Function Compute.
       # Your Alibaba Cloud account AccessKey pair grants full access to all API operations. 
       # We recommend that you use a RAM user for API access and routine O&M.
       # To prevent security risks, do not hardcode the AccessKey ID and AccessKey secret in your project code.
       # This example shows how to obtain the AccessKey ID and AccessKey secret from the context.
       auth = oss2.StsAuth(creds.access_key_id, creds.access_key_secret, creds.security_token)
       bucket = oss2.Bucket(auth, evt['endpoint'], evt['bucket'])
       bucket.put_object(evt['objectName'], evt['message'])
       return 'success'

3. Haga clic en Test Function. Una vez que la función se ejecute correctamente, inicie sesión en la consola de OSS, busque el bucket de destino y compruebe que el contenido del objeto de destino se haya actualizado con el valor del parámetro message del evento de prueba.