Platform For AI:Configurer un rôle RAM pour une instance DSW

Rôle par défaut de PAI

Platform for AI (PAI) fournit un rôle par défaut. Après avoir attribué ce rôle à une instance, celle-ci obtient automatiquement l'accès aux ressources suivantes sans qu'il soit nécessaire de configurer une AccessKey :

• Soumettre des tâches aux projets MaxCompute où le propriétaire de l'instance dispose d'autorisations d'exécution, en utilisant le SDK ODPS.

• Accéder aux données du bucket configuré comme chemin de stockage par défaut pour l'espace de travail actuel, en utilisant le SDK OSS.

• Utiliser le service Tongyi Lingma dans WebIDE.

• Créer et soumettre des tâches d'entraînement à l'espace de travail actuel en utilisant le SDK PAI ou PAI-DLC.

Rôle personnalisé

1. Connectez-vous à la console RAM et créez un rôle RAM. Pour des instructions détaillées, consultez la rubrique Créer un rôle RAM pour un service Alibaba Cloud de confiance.

   Configurez les paramètres clés comme suit :

   • Type d'entité de confiance : Service Alibaba Cloud

   • Nom de l'entité de confiance : Platform for AI (pai.aliyun.cs.com)

2. Accordez des autorisations au rôle RAM.

   Cliquez sur Add Authorization et attachez une stratégie d'autorisation système ou personnalisée au rôle RAM. Cela accorde au rôle les autorisations nécessaires pour accéder aux ressources requises ou les gérer. Par exemple, ajoutez la stratégie AliyunOSSFullAccess. Pour plus d'informations, consultez l'étape Étape 3 : Accorder des autorisations à un rôle RAM.

   Remarque

   Si vous utilisez un utilisateur RAM pour gérer l'instance DSW, demandez à l'administrateur de votre compte principal de créer et d'attacher la stratégie d'autorisation suivante à votre utilisateur RAM. Cette stratégie permet à votre utilisateur RAM d'utiliser le rôle RAM de l'instance.

   Le code suivant présente la stratégie d'autorisation requise. Remplacez ${RoleName} par le nom du rôle RAM de l'instance DSW.

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "ram:PassRole",
         "Resource": "acs:ram::*:role/${RoleName}"
       }
     ]
   }

Aucun rôle associé

Si votre instance est visible publiquement au sein de l'espace de travail, nous vous recommandons de ne pas lui associer de rôle RAM afin d'éviter toute exposition des autorisations. Lors de la création d'une instance ou de la modification de sa configuration, dans la section Advanced Information, définissez Instance RAM Role sur Does Not Associate Role.

Outil Credentials

Nous vous recommandons d'utiliser l'outil Credentials fourni par les SDK Alibaba Cloud. Il gère automatiquement l'obtention et l'actualisation des identifiants, ce qui constitue la meilleure pratique pour accéder aux services cloud.

1. Installez la dépendance (exemple Python) :

   pip install alibabacloud_credentials

2. Exemple d'utilisation :

   from alibabacloud_credentials.client import Client as CredClient
   from alibabacloud_credentials.models import Config as CredConfig
   credentialsConfig = CredConfig(
   	type='credentials_uri'   # Optional. If you have not configured other access methods in the default credential chain, you do not need to explicitly specify the type. The Credentials SDK obtains temporary credentials by using the URI method.
   )
   credentialsClient = CredClient(credentialsConfig)

Pour plus d'exemples de SDK dans d'autres langages, consultez la rubrique Meilleures pratiques pour l'utilisation des identifiants afin d'accéder à l'OpenAPI Alibaba Cloud.

Service local

Dans l'instance DSW, exécutez la commande suivante dans le terminal pour obtenir les identifiants depuis le service injecté localement.

# Obtain temporary access credentials for the instance RAM role
curl $ALIBABA_CLOUD_CREDENTIALS_URI

Voici un exemple de réponse :

• SecurityToken : le jeton temporaire pour le rôle RAM de l'instance.

• Expiration : l'heure d'expiration des identifiants d'accès temporaires.

{
    "Code": "Success",
    "AccessKeyId": "STS.N*********7",
    "AccessKeySecret": "3***************d",
    "SecurityToken": "DFE32G*******",
    "Expiration": "2024-05-21T10:39:29Z"
}

Fichier local

Dans une instance DSW, PAI injecte automatiquement et actualise périodiquement un fichier contenant les identifiants temporaires pour le rôle RAM de l'instance. Vous pouvez obtenir ces identifiants en lisant le fichier situé dans le chemin /mnt/.alibabacloud/credentials. Le contenu du fichier est le suivant :

{
    "AccessKeyId": "STS.N*********7",
    "AccessKeySecret": "3***************d",
    "SecurityToken": "DFE32G*******",
    "Expiration": "2024-05-21T10:39:29Z"
}