:Pengelolaan izin

Konsep

• Apa itu Resource Access Management?

• Mulai cepat: Buat dan otorisasi RAM user

• Ikhtisar kebijakan (kebijakan sistem dan kebijakan kustom)

• Buat kebijakan kustom

Prasyarat

• Aktifkan dan inisialisasi PAI-Rec.

• Login dengan Akun Alibaba Cloud Anda.

Kebijakan terkait PAI-Rec

• PaiRecRamAdminAccess: Memberikan izin ram:AttachPolicyToUser, yang memungkinkan pengguna menyambungkan kebijakan ke pengguna lain. Pengguna dengan kebijakan ini juga dapat memberikan kebijakan PaiRecRamAdminAccess kepada pengguna lain, sehingga menjadikan mereka administrator.

• PaiRecDataManagementAccess: Memberikan izin OpenAPI untuk layanan terkait manajemen data, termasuk OSS, Container Registry, DataHub, MaxCompute, Konsol PAI-Rec, dan FeatureStore.

• PaiRecEngineAccess: Memberikan izin OpenAPI untuk PAI-EAS dan Hologres.

• PaiRecMonitorAccess: Memberikan izin OpenAPI untuk Flink dan Simple Log Service (SLS).

Buat pengguna dan tetapkan peran

• Login ke Konsol RAM dengan Akun Alibaba Cloud Anda dan buat RAM user untuk anggota tim Anda.

  1. RAM user PAI-Rec biasanya mencakup insinyur algoritma rekomendasi, insinyur mesin rekomendasi, serta analis bisnis yang perlu melihat laporan eksperimen.

  2. Untuk menetapkan pengguna sebagai administrator PAI-Rec, berikan kebijakan PaiRecRamAdminAccess kepada pengguna tersebut. Untuk melakukannya, temukan kebijakan PaiRecRamAdminAccess, lalu klik Authorize.

• Tambahkan RAM user yang telah Anda buat ke sumber daya cloud yang diperlukan. Misalnya, tambahkan insinyur algoritma ke ruang kerja proyek di DataWorks, MaxCompute, PAI, dan Flink. Jika Anda menggunakan Hologres untuk menyimpan fitur atau data perilaku pengguna, Anda juga harus menambahkan pengguna tersebut ke Hologres.

  1. Pada bagian Add Members By Cloud Resource, klik Add Member di sebelah Produk target.

  2. Pilih RAM user yang telah Anda buat, klik , tetapkan peran kepada pengguna tersebut, lalu klik OK.

     Untuk membangun sistem rekomendasi PAI-Rec, RAM user memerlukan setidaknya peran berikut:

     Produk cloud	Peran	Referensi
     DataWorks	Developer, Deployer, dan O&M.	Lampiran: Izin peran bawaan di tingkat ruang kerja
     MaxCompute	Jika DataWorks berada dalam mode dasar, kami menyarankan agar Anda memberikan peran role_project_dev kepada pengguna di MaxCompute. Jika DataWorks berada dalam mode standar, berikan peran role_project_dev kepada pengguna di proyek pengembangan MaxCompute ${project}_dev. Anda juga harus menetapkan pemilik tugas untuk sumber daya komputasi MaxCompute (nama proyek: ${project}) di DataWorks ke Akun Alibaba Cloud Anda.	Ikhtisar izin
     Flink	EDITOR (default, tidak perlu konfigurasi manual).	Pengelolaan izin
     Hologres	normal	Model izin Hologres
     PAI	Algorithm Developer, Algorithm O&M, dan MaxCompute Developer.	Lampiran: Peran dan izin

Operasi terkait

Untuk mencabut izin, buka tab User Policies, klik Revoke di sebelah kebijakan target, lalu ikuti petunjuk di layar.

Konfigurasikan PAI-DLC untuk pelatihan model

• Jika Anda membeli dan menggunakan kelompok sumber daya Data Transmission Service (DTS) khusus (langganan), Anda harus menjalankan perintah berikut di proyek MaxCompute yang ditentukan: setproject odps.tunnel.enable.quota.route.v2=true;

• Setelah Anda mengonfigurasi StorageAPI, sebuah peran akan dibuat secara otomatis di konsol MaxCompute melalui Management Configuration > Tenant Management > Role Management > Role Management. Peran yang dibuat bergantung pada metode penagihan penyimpanan: peran storage_auth_for_pairec_${quota_name} untuk sumber daya langganan—dengan ${quota_name} sebagai variabel yang mewakili nama kuota—dan peran storage_auth_for_pairec_pay_as_you_go untuk sumber daya bayar sesuai penggunaan. Kode berikut menunjukkan isi kebijakan storage_auth_for_pairec_pay_as_you_go:

  {
    "Statement": [{
            "Action": ["odps:List",
                "odps:Usage"],
            "Effect": "Allow",
            "Resource": ["acs:odps:*:regions/*/quotas/pay_as_you_go"]
            }],
    "Version": "1"
  }

Akses tanpa AK untuk mesin rekomendasi

• Berikan kebijakan PaiRecDataManagementAccess kepada peran RAM AliyunPAIRecEASRole. Hal ini memungkinkan mesin rekomendasi PAI-Rec untuk memulai layanan PAI-EAS dan menginisialisasi layanan seperti ABTest SDK, PAI-FeatureStore SDK, dan Datahub tanpa kunci akses. Untuk informasi lebih lanjut, lihat Kelola izin peran RAM.

Periksa status akses layanan cloud

Untuk memverifikasi akses PAI-Rec ke layanan cloud lainnya, buka System Configuration > Permission Management > Service Policies di Konsol PAI-Rec untuk memeriksa status akses setiap layanan dan memberikan otorisasi jika diperlukan.

Prasyarat

Anda telah mengaktifkan dan menginisialisasi PAI-Rec.

Prosedur

1. Login ke Konsol PAI-Rec. Di panel navigasi kiri, pilih System Configuration > Permission Management.

2. Di tab Service Policies, periksa status akses setiap layanan cloud. Catatan: Status ini menunjukkan apakah peran AliyunServiceRoleForPaiRec dapat mengakses layanan cloud tersebut.

   Jika status aksesnya Gagal, klik Authorize dan ikuti petunjuk di layar untuk memberikan izin yang diperlukan.