Realtime Compute for Apache Flink:Gunakan peran RAM untuk mengakses sumber daya cloud (Beta)

1. Buat peran RAM

1. Login ke halaman RAM console - Roles dan klik Create Role. Pertahankan opsi default (entitas tepercaya adalah Akun Alibaba Cloud saat ini), lalu klik OK.

2. Masukkan nama peran yang mudah dikenali, misalnya FlinkRoleForOSSRead, lalu klik OK.

2. Tambahkan kebijakan kepercayaan

Flink mengasumsikan peran RAM untuk memperoleh kredensial sementara. Peran RAM harus mempercayai Flink untuk mengasumsikannya.

Setelah peran dibuat, pada halaman detail peran, klik tab Trust Policy lalu klik Edit Trust Policy. Tambahkan "Service": ["stream.aliyuncs.com"] ke dalam Principal agar Flink dipercaya untuk mengasumsikan peran tersebut. Untuk informasi lebih lanjut, lihat Modify the trust policy of a RAM role.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "stream.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

3. Berikan izin untuk mengakses sumber daya cloud

Flink menggunakan identitas peran RAM untuk mengakses sumber daya cloud. Berikan izin yang diperlukan kepada peran RAM terlebih dahulu untuk mencegah error akses.

Pada halaman detail peran, klik tab Permissions lalu klik Grant Permission untuk memberikan izin kepada peran agar dapat mengakses sumber daya cloud target.

Sebagai contoh, untuk mengakses OSS, berikan izin AliyunOSSReadOnlyAccess (read-only) atau AliyunOSSFullAccess (penuh). Untuk informasi lebih lanjut, lihat Grant permissions to a RAM role.

Buat kebijakan izin

Login ke halaman RAM console - Policies lalu klik Create Policy. Beralih ke mode Script dan edit konten kebijakan.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListRoles"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::<account-id>:role/<role-name>",
      "Condition": {
        "StringEquals": {
          "acs:Service": "stream.aliyuncs.com"
        }
      }
    }
  ]
}

Klik OK untuk menyimpan kebijakan, misalnya sebagai FlinkPassRolePolicy. Untuk informasi lebih lanjut, lihat Create a custom policy.

Berikan izin kepada Pengguna RAM

1. Login ke halaman RAM console - Users. Temukan Pengguna RAM yang akan diberi otorisasi, lalu klik Add Permissions pada kolom Actions.

2. Pada panel Add Permissions, cari dan pilih kebijakan yang dibuat pada Langkah 2 (misalnya, FlinkPassRolePolicy), lalu klik Confirm. Untuk informasi lebih lanjut, lihat Grant permissions to a RAM user.

Tambahkan referensi peran RAM

1. Login ke Konsol Realtime Compute dan masuk ke ruang kerja target.

2. Pada panel navigasi kiri, pilih Security Services > Access Security.

3. Klik tab RAM Roles.

4. Klik Reference RAM Role.

5. Pada kotak dialog, konfigurasikan hal berikut:

   Item	Wajib	Deskripsi
   RAM role	Ya	Pilih peran dari daftar drop-down. Pencarian fuzzy berdasarkan nama peran dan multi-pilih (maksimal 5 per operasi) didukung. Peran yang telah direferensikan tidak dapat dipilih lagi. Catatan Daftar peran berisi peran layanan reguler di bawah Akun Alibaba Cloud yang memiliki namespace saat ini. Operator harus berada dalam Akun Alibaba Cloud yang sama dengan namespace saat ini dan memiliki izin ListRoles untuk melihat daftar peran.
   Description	Tidak	Deskripsi peran. Maksimal 256 karakter.

6. Klik Test. Sistem secara otomatis memeriksa dua hal berikut:

   • Pemeriksaan izin PassRole: Pengguna saat ini memiliki izin ram:PassRole pada peran RAM yang dipilih.

   • Pemeriksaan kebijakan kepercayaan: Peran RAM yang dipilih mempercayai namespace Flink saat ini untuk mengasumsikannya.

7. Setelah pemeriksaan berhasil, klik OK.

Gunakan peran RAM dalam pekerjaan

Setelah peran RAM direferensikan, tentukan nama peran menggunakan parameter akless.assume-role.role-name dalam kode pekerjaan. Flink mengasumsikan peran tersebut untuk memperoleh token STS sementara dan mengakses sumber daya cloud sebagai peran tersebut.

# OSS
fs.oss.bucket.<bucketName>.akless.assume-role.role-name: <your-role-name>
fs.oss.inner.bucket: <workspace-associated-bucket-name>

# OSS-HDFS
fs.oss.jindo.akless.assume-role.role-name: <your-role-name>

Sunting peran RAM

1. Di bawah Security Services > Access Security > RAM Roles, temukan peran target lalu klik Edit pada kolom Actions.

2. Pada kotak dialog, ubah deskripsi. Nama peran tidak dapat diubah.

3. Klik Test. Setelah pemeriksaan berhasil, klik OK.

Hapus peran RAM

1. Di bawah Security Services > Access Security > RAM Roles, temukan peran target lalu klik Remove pada kolom Actions.

2. Pada kotak dialog konfirmasi, masukkan nama peran lalu klik Confirm Removal.

Segarkan status peran

Klik Refresh di pojok kanan atas daftar RAM Roles untuk memeriksa status semua peran yang direferensikan secara massal.

Model 1: Asumsi langsung (sts:AssumeRole)

• Aksi inti: Entitas tepercaya (seperti Pengguna RAM atau aplikasi) secara aktif memanggil API STS AssumeRole untuk memperoleh kredensial sementara untuk peran RAM, sehingga secara efektif "bertransformasi" menjadi peran tersebut.

• Rantai otorisasi: Entity A → Calls sts:AssumeRole → Assumes Role R → Obtains Role R permissions.

• Persyaratan izin: Entity A harus diberikan izin sts:AssumeRole.

• Skenario khas: Aplikasi yang berjalan di ECS atau server lokal perlu mengakses OSS secara sementara. Aplikasi tersebut menggunakan pasangan Kunci Akses miliknya sendiri untuk memanggil AssumeRole, memperoleh kredensial sementara, lalu menggunakannya untuk mengakses OSS. Dalam skenario ini, Entity A adalah pelaksana aktif.

Model 2: Otorisasi terdelegasi (ram:PassRole)

• Aksi inti: Entitas (seperti Pengguna RAM) "meneruskan" peran RAM ke layanan cloud (seperti Flink), memberi otorisasi kepada layanan tersebut untuk mengasumsikan peran tersebut. Pengguna tidak mengasumsikan peran tersebut.

• Rantai otorisasi: User_B → Passes Role_A → To the cloud service → The cloud service calls sts:AssumeRole to assume Role_A → The cloud service obtains Role_A permissions.

• Persyaratan izin: User B harus diberikan izin ram:PassRole, dan Role A harus mempercayai layanan cloud untuk mengasumsikannya.

• Skenario khas: Developer (User_B) mengembangkan pekerjaan di Konsol Flink dan menentukan peran (Role_A). Untuk memungkinkan layanan Flink mengakses sumber daya cloud atas nama pengguna, pengguna harus memiliki izin untuk meneruskan Role_A ke layanan Flink. Dalam skenario ini, pengguna adalah pemberi otorisasi, dan layanan cloud adalah pelaksana.

Contoh: Flink mengakses OSS

Alur interaksi model otorisasi terdelegasi (PassRole) terdiri dari fase konfigurasi dan fase waktu proses:

• Fase konfigurasi:

  1. Administrator RAM menyelesaikan penyiapan dasar, termasuk membuat peran, mengonfigurasi izin dan hubungan kepercayaannya, serta memberikan izin PassRole kepada pengguna.

  2. Pengguna menambahkan referensi peran RAM di Flink. Platform Flink memverifikasi bahwa pengguna diotorisasi untuk "meneruskan" peran tersebut dan bahwa peran tersebut mempercayai Flink untuk mengasumsikannya.

• Fase waktu proses:

  1. Layanan mengasumsikan peran: Layanan Flink (stream.aliyuncs.com), sebagai pihak yang sebenarnya mengasumsikan peran, mengirim permintaan AssumeRole ke STS.

  2. Otorisasi STS dan eksekusi layanan: STS mengonfirmasi bahwa Flink dipercaya oleh Role A, lalu menerbitkan kredensial sementara. Layanan Flink menggunakan kredensial tersebut untuk mengakses OSS dan menyelesaikan tugas yang didelegasikan oleh pengguna.