Platform For AI:Konfigurasikan peran RAM EAS

Langkah 1: Buat peran RAM

1. Masuk ke Konsol RAM dan buat peran RAM.

2. Atur parameter berikut:

   Parameter	Nilai
   Principal Type	Cloud Service
   Principal Name	Platform for AI/PAI (eas.pai.aliyuncs.com)

3. Pada tab Trust Policy peran baru, pastikan eas.pai.aliyuncs.com muncul dalam larik principal Service. Kebijakan kepercayaan ini mengontrol layanan mana yang dapat mengasumsikan peran tersebut. Contoh kebijakan kepercayaan yang dikonfigurasi dengan benar adalah sebagai berikut:

   Penting

   Ketidakhadiran entri ini merupakan penyebab paling umum dari kesalahan penerapan failed to assume role. Jika peran dibuat dengan principal berbeda (misalnya, layanan lain), klik Edit Trust Policy dan tambahkan "eas.pai.aliyuncs.com" ke larik Service.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": ["acs:ram::aaa:root"],
           "Service": ["xxx.aliyuncs.com"]
         }
       }
     ],
     "Version": "1"
   }

Langkah 2: Berikan izin kepada peran

Sambungkan kebijakan sistem atau kustom untuk memberikan akses peran ke sumber daya yang dibutuhkan layanan Anda. Sebagai contoh, sambungkan AliyunOSSReadOnlyAccess untuk mengizinkan akses baca ke OSS.

Langkah 3: Kaitkan peran saat penerapan

Tambahkan konfigurasi berikut ke JSON pada bagian Service Configuration. Ganti role_arn dengan ARN peran yang telah Anda buat. Untuk menemukan ARN, lihat Lihat peran RAM.

"options": {
  "enable_ram_role": true
},
"role_arn": "acs:ram::111*************:role/${RoleName}"

Berikan izin PassRole kepada Pengguna RAM

Jika Anda menerapkan layanan EAS sebagai Pengguna RAM (sub-akun), akun utama harus memberikan izin ram:PassRole kepada Anda. Tanpa izin ini, penerapan akan gagal dengan kesalahan konfigurasi peran.

Minta akun utama untuk menyambungkan kebijakan kustom berikut ke Pengguna RAM Anda. Ganti ${RoleName} dengan nama peran RAM yang dikaitkan dengan layanan EAS. Untuk bantuan, lihat Buat kebijakan izin kustom dan Berikan izin kepada Pengguna RAM.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/${RoleName}"
    }
  ]
}

Peran tidak ditemukan

Gejala: Anda mengalami kesalahan Permission Denied dengan kode kesalahan Forbidden.PrivilegeDenied. Aksi otorisasi adalah ram:PassRole, dan hasil pemeriksaan izin menunjukkan izin tidak mencukupi.

Periksa di Konsol RAM apakah peran tersebut ada.

• Peran tidak ada: Perbarui konfigurasi layanan untuk mereferensikan nama peran yang ada.

• Peran ada tetapi kesalahan tetap muncul: Pengguna RAM yang menerapkan layanan tidak memiliki izin ram:PassRole. Minta akun utama untuk menyambungkan kebijakan berikut (ganti ${RoleName} dengan nama peran). Lihat Berikan izin kepada Pengguna RAM.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ram:PassRole",
        "Resource": "acs:ram::*:role/${RoleName}"
      }
    ]
  }

Gagal mengasumsikan peran

Gejala: Tab Deployment Events pada halaman Elastic Algorithm Service menampilkan:

unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.

Kebijakan kepercayaan peran RAM tidak menyertakan eas.pai.aliyuncs.com sebagai principal tepercaya. Untuk memperbaikinya:

1. Masuk ke Konsol RAM sebagai administrator RAM.

2. Di panel navigasi kiri, pilih Identities > Roles.

3. Klik nama peran RAM target.

4. Pada tab Trust Policy, klik Edit Trust Policy.

5. Dalam larik Service, tambahkan "eas.pai.aliyuncs.com" dan klik OK.

Sebelum:

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": ["xxx.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

Sesudah:

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": [
          "xxx.aliyuncs.com",
          "eas.pai.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}