Realtime Compute for Apache Flink:Use a RAM role to access cloud resources (Beta)

1. Créer un rôle RAM

1. Connectez-vous à la page Console RAM - Rôles et cliquez sur Create Role. Conservez les options par défaut (l'entité de confiance est le compte Alibaba Cloud actuel) et cliquez sur OK.

2. Saisissez un nom de rôle reconnaissable, par exemple FlinkRoleForOSSRead, et cliquez sur OK.

2. Ajouter une politique de confiance

Flink endosse le rôle RAM pour obtenir des identifiants temporaires. Le rôle RAM doit faire confiance à Flink pour pouvoir l'endosser.

Après la création du rôle, sur la page des détails du rôle, cliquez sur l'onglet Trust Policy puis sur Edit Trust Policy. Ajoutez "Service": ["stream.aliyuncs.com"] à Principal pour autoriser Flink à endosser le rôle. Pour plus d'informations, consultez Modifier la politique de confiance d'un rôle RAM.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "stream.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

3. Accorder des autorisations pour accéder aux ressources cloud

Flink utilise l'identité du rôle RAM pour accéder aux ressources cloud. Accordez à l'avance les autorisations nécessaires au rôle RAM afin d'éviter les erreurs d'accès.

Sur la page des détails du rôle, cliquez sur l'onglet Permissions puis sur Grant Permission pour accorder au rôle les autorisations d'accès aux ressources cloud cibles.

Par exemple, pour accéder à OSS, accordez les autorisations AliyunOSSReadOnlyAccess (lecture seule) ou AliyunOSSFullAccess (accès complet). Pour plus d'informations, consultez Accorder des autorisations à un rôle RAM.

Créer une stratégie d'autorisation

Connectez-vous à la page Console RAM - Stratégies et cliquez sur Create Policy. Basculez vers le mode Script et modifiez le contenu de la stratégie.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListRoles"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::<account-id>:role/<role-name>",
      "Condition": {
        "StringEquals": {
          "acs:Service": "stream.aliyuncs.com"
        }
      }
    }
  ]
}

Cliquez sur OK pour enregistrer la stratégie, par exemple sous le nom FlinkPassRolePolicy. Pour plus d'informations, consultez Créer une stratégie personnalisée.

Accorder des autorisations à l'utilisateur RAM

1. Connectez-vous à la page Console RAM - Utilisateurs. Recherchez l'utilisateur RAM à autoriser et cliquez sur Add Permissions dans la colonne Actions.

2. Dans le panneau Add Permissions, recherchez et sélectionnez la stratégie créée à l'étape 2 (par exemple, FlinkPassRolePolicy), puis cliquez sur Confirm. Pour plus d'informations, consultez Accorder des autorisations à un utilisateur RAM.

Ajouter une référence de rôle RAM

1. Connectez-vous à la console Realtime Compute et accédez à l'espace de travail cible.

2. Dans le volet de navigation de gauche, choisissez Security Services > Access Security.

3. Cliquez sur l'onglet RAM Roles.

4. Cliquez sur Reference RAM Role.

5. Dans la boîte de dialogue, configurez les éléments suivants :

   Élément	Obligatoire	Description
   Rôle RAM	Oui	Sélectionnez le rôle dans la liste déroulante. La recherche floue par nom de rôle et la sélection multiple (jusqu'à 5 par opération) sont prises en charge. Les rôles référencés ne peuvent pas être sélectionnés à nouveau. Remarque La liste des rôles contient les rôles de service réguliers sous le compte Alibaba Cloud propriétaire du namespace actuel. L'opérateur doit appartenir au même compte Alibaba Cloud que le namespace actuel et disposer de l'autorisation ListRoles pour afficher les rôles.
   Description	Non	Description du rôle. Jusqu'à 256 caractères.

6. Cliquez sur Test. Le système vérifie automatiquement les deux éléments suivants :

   • Vérification de l'autorisation PassRole : L'utilisateur actuel dispose de l'autorisation ram:PassRole sur le rôle RAM sélectionné.

   • Vérification de la politique de confiance : Le rôle RAM sélectionné fait confiance au namespace Flink actuel pour l'endosser.

7. Une fois les vérifications réussies, cliquez sur OK.

Utiliser le rôle RAM dans les jobs

Après avoir référencé le rôle RAM, spécifiez le nom du rôle à l'aide du paramètre akless.assume-role.role-name dans le code du job. Flink endosse le rôle pour obtenir le jeton STS temporaire et accède aux ressources cloud en tant que ce rôle.

# OSS
fs.oss.bucket.<bucketName>.akless.assume-role.role-name: <your-role-name>
fs.oss.inner.bucket: <workspace-associated-bucket-name>

# OSS-HDFS
fs.oss.jindo.akless.assume-role.role-name: <your-role-name>

Modifier un rôle RAM

1. Sous Security Services > Access Security > RAM Roles, recherchez le rôle cible et cliquez sur Edit dans la colonne Actions.

2. Dans la boîte de dialogue, modifiez la description. Le nom du rôle ne peut pas être modifié.

3. Cliquez sur Test. Une fois les vérifications réussies, cliquez sur OK.

Supprimer un rôle RAM

1. Sous Security Services > Access Security > RAM Roles, recherchez le rôle cible et cliquez sur Remove dans la colonne Actions.

2. Dans la boîte de dialogue de confirmation, saisissez le nom du rôle et cliquez sur Confirm Removal.

Actualiser le statut du rôle

Cliquez sur Refresh dans le coin supérieur droit de la liste des rôles RAM pour vérifier en masse le statut de tous les rôles référencés.

Modèle 1 : Endossement direct (sts:AssumeRole)

• Action principale : Une entité de confiance (comme un utilisateur RAM ou une application) appelle activement l'API STS AssumeRole pour obtenir des identifiants temporaires pour un rôle RAM, « devenant » ainsi ce rôle.

• Chaîne d'autorisation : Entity A → Calls sts:AssumeRole → Assumes Role R → Obtains Role R permissions.

• Exigence d'autorisation : L'entité A doit disposer de l'autorisation sts:AssumeRole.

• Scénario typique : Une application s'exécutant sur ECS ou un serveur local doit accéder temporairement à OSS. L'application utilise sa propre paire AccessKey pour appeler AssumeRole, obtient des identifiants temporaires, puis les utilise pour accéder à OSS. Dans ce scénario, l'entité A est l'exécuteur actif.

Modèle 2 : Autorisation déléguée (ram:PassRole)

• Action principale : Une entité (comme un utilisateur RAM) « transmet » un rôle RAM à un service cloud (comme Flink), autorisant le service à endosser le rôle. L'utilisateur n'endosse pas le rôle.

• Chaîne d'autorisation : User_B → Transmet Role_A → Au service cloud → Le service cloud appelle sts:AssumeRole pour endosser Role_A → Le service cloud obtient les autorisations de Role_A.

• Exigence d'autorisation : L'utilisateur B doit disposer de l'autorisation ram:PassRole, et le rôle A doit faire confiance au service cloud pour l'endosser.

• Scénario typique : Un développeur (User_B) développe un job dans la console Flink et spécifie un rôle (Role_A). Pour permettre au service Flink d'accéder aux ressources cloud au nom de l'utilisateur, celui-ci doit disposer de l'autorisation de transmettre Role_A au service Flink. Dans ce scénario, l'utilisateur est l'autorisateur et le service cloud est l'exécuteur.

Exemple : Flink accédant à OSS

Le flux d'interaction du modèle d'autorisation déléguée (PassRole) comprend une phase de configuration et une phase d'exécution :

• Phase de configuration :

  1. L'administrateur RAM effectue la configuration de base, notamment la création du rôle, la configuration de ses autorisations et de sa relation de confiance, et l'attribution de l'autorisation PassRole à l'utilisateur.

  2. L'utilisateur ajoute une référence de rôle RAM dans Flink. La plateforme Flink vérifie que l'utilisateur est autorisé à « transmettre » le rôle et que le rôle fait confiance à Flink pour l'endosser.

• Phase d'exécution :

  1. Le service endosse le rôle : Le service Flink (stream.aliyuncs.com), en tant qu'endosseur réel du rôle, envoie une requête AssumeRole à STS.

  2. Autorisation STS et exécution du service : STS confirme que Flink est approuvé par le rôle A, puis émet des identifiants temporaires. Le service Flink utilise ces identifiants pour accéder à OSS et accomplir la tâche déléguée par l'utilisateur.