Platform For AI:Configurer le rôle RAM EAS

"options": {
  "enable_ram_role": true
}

Étape 1 : Créer un rôle RAM

1. Connectez-vous à la console RAM et créez un rôle RAM.

2. Définissez les paramètres suivants :

   Paramètre	Valeur
   Principal Type	Cloud Service
   Principal Name	Platform for AI/PAI (eas.pai.aliyuncs.com)

3. Dans l'onglet Trust Policy du nouveau rôle, vérifiez que eas.pai.aliyuncs.com apparaît dans le tableau principal Service. Cette politique de confiance détermine quels services peuvent assumer le rôle. Une politique de confiance correctement configurée se présente comme suit :

   Important

   L'absence de cette entrée est la cause la plus fréquente de l'erreur de déploiement failed to assume role. Si le rôle a été créé avec un principal différent (par exemple, un autre service), cliquez sur Edit Trust Policy et ajoutez "eas.pai.aliyuncs.com" au tableau Service.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "Service": [
             "eas.pai.aliyuncs.com"
           ]
         }
       }
     ],
     "Version": "1"
   }

Étape 2 : Accorder des autorisations au rôle

Joignez des politiques système ou personnalisées pour permettre au rôle d'accéder aux ressources requises par votre service. Par exemple, joignez la politique AliyunOSSReadOnlyAccess pour autoriser l'accès en lecture à OSS.

Étape 3 : Associer le rôle lors du déploiement

Ajoutez les éléments suivants au JSON dans la section Service Configuration . Remplacez role_arn par l'ARN du rôle que vous avez créé. Pour trouver l'ARN, consultez la section Afficher le rôle RAM.

"options": {
  "enable_ram_role": true
},
"role_arn": "acs:ram::111*************:role/${RoleName}"

Accorder l'autorisation PassRole à un utilisateur RAM

Si vous déployez des services EAS en tant qu'utilisateur RAM (sous-compte), le compte principal doit vous accorder l'autorisation ram:PassRole . Sans celle-ci, le déploiement échoue avec une erreur de configuration de rôle.

Demandez au compte principal de joindre la politique personnalisée suivante à votre utilisateur RAM. Remplacez ${RoleName} par le nom du rôle RAM associé au service EAS. Pour obtenir de l'aide, consultez les sections Créer une politique d'autorisation personnalisée et Accorder des autorisations à un utilisateur RAM.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/${RoleName}"
    }
  ]
}

Rôle introuvable

Symptôme : Vous rencontrez une erreur Permission Denied avec le code d'erreur Forbidden.PrivilegeDenied . L'action d'autorisation est ram:PassRole , et le résultat de la vérification des autorisations indique des permissions insuffisantes.

Vérifiez dans la console RAM si le rôle existe.

• Le rôle n'existe pas : Mettez à jour la configuration du service pour référencer un nom de rôle existant.

• Le rôle existe mais l'erreur persiste : L'utilisateur RAM qui déploie le service ne dispose pas de l'autorisation ram:PassRole . Demandez au compte principal de joindre la politique suivante (remplacez ${RoleName} par le nom du rôle). Consultez la section Accorder des autorisations à un utilisateur RAM.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ram:PassRole",
        "Resource": "acs:ram::*:role/${RoleName}"
      }
    ]
  }

Échec de l'assumption du rôle

Symptôme : L'onglet Deployment Events de la page Elastic Algorithm Service affiche :

unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.

La politique de confiance du rôle RAM n'inclut pas eas.pai.aliyuncs.com en tant que principal de confiance. Pour résoudre ce problème :

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Identities > Roles .

3. Cliquez sur le nom du rôle RAM cible.

4. Dans l'onglet Trust Policy , cliquez sur Edit Trust Policy .

5. Dans le tableau Service , ajoutez "eas.pai.aliyuncs.com" et cliquez sur OK .

Avant :

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": ["xxx.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

Après :

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": [
          "xxx.aliyuncs.com",
          "eas.pai.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}