Platform For AI：Konfigurasikan Peran RAM EAS

Manfaat

Peran RAM adalah entitas tepercaya yang dapat diasumsikan oleh layanan cloud untuk menyelesaikan masalah "akses lintas-layanan". Mendapatkan kredensial akses sementara berdasarkan peran RAM untuk verifikasi identitas dan kontrol akses memiliki manfaat sebagai berikut:

• Keamanan dan kerahasiaan: Tidak perlu mengelola kredensial di dalam layanan. Kredensial akses sementara STS menggantikan AccessKey jangka panjang, mengurangi risiko kebocoran kunci.

• Nyaman dan terkendali: Dengan memodifikasi kebijakan izin peran RAM, Anda dapat lebih nyaman dan tepat mengontrol izin bagi pengembang untuk mengakses sumber daya cloud di dalam layanan.

Batasan

Saat ini, sebuah layanan EAS hanya dapat dikaitkan dengan satu peran RAM.

Metode konfigurasi

Konfigurasikan peran RAM untuk layanan EAS saat membuatnya, dan dapatkan kredensial akses sementara STS.

"options": {
  "enable_ram_role": true
}

# Dapatkan kredensial akses otorisasi sementara untuk peran RAM instance
curl $ALIBABA_CLOUD_CREDENTIALS_URI

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}

Contoh

Bagian ini menjelaskan cara mengakses PyODPS atau OSS berdasarkan peran RAM EAS. Anda dapat mengintegrasikan kode ke dalam gambar layanan atau memasangnya ke instance layanan melalui konfigurasi model. Contoh ini menunjukkan metode pemasangan. Prosedurnya adalah sebagai berikut:

1. Pergi ke halaman Penyebaran Kustom. Untuk informasi lebih lanjut, lihat Penyebaran Layanan.

2. Di halaman Penyebaran Kustom, konfigurasikan parameter kunci berikut. Untuk informasi lebih lanjut tentang konfigurasi parameter, lihat Deskripsi Parameter Penyebaran Kustom Konsol.

   Parameter		Deskripsi
   Environment Information	Run Command	Tambahkan perintah untuk mengeksekusi kode, seperti python /mnt/data/xx.py.
   	Model Configuration	Pasang file kode xx.py ke instance layanan EAS melalui Konfigurasi Model. Pilih direktori tempat file kode berada dan konfigurasikan jalur pemasangan /mnt/data/. Contoh isi file kode adalah sebagai berikut: Contoh 1: Akses data OSS berdasarkan peran RAM import oss2 from alibabacloud_credentials.client import Client from alibabacloud_credentials import providers from itertools import islice if __name__ == '__main__': auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider()) # <oss_endpoint> perlu diganti dengan nama Bucket OSS Anda; <oss_bucket> perlu diganti dengan Endpoint wilayah tempat Bucket OSS Anda berada. bucket = oss2.Bucket(auth, '<oss_endpoint>', '<oss_bucket>' ) for b in islice(oss2.ObjectIterator(bucket), 10): print(b.key) Dimana: <oss_bucket> perlu diganti dengan nama Bucket OSS Anda, dan pastikan itu adalah bucket OSS default yang telah ditetapkan di ruang kerja saat ini. <oss_endpoint> perlu diganti dengan Endpoint wilayah tempat Bucket OSS Anda berada. Karena EAS tidak terhubung ke jaringan publik secara default, Anda harus mengonfigurasi alamat Endpoint jaringan internal (seperti oss-cn-hangzhou-internal.aliyuncs.com). Jika Anda perlu menggunakan Endpoint jaringan publik (seperti oss-cn-hangzhou.aliyuncs.com), Anda perlu mengonfigurasi virtual private cloud (VPC) dengan kemampuan akses jaringan publik untuk EAS. Untuk informasi lebih lanjut, lihat Konfigurasikan konektivitas jaringan. Contoh 2: Akses data PyODPS berdasarkan peran RAM from alibabacloud_credentials import providers from odps.accounts import CredentialProviderAccount from odps import ODPS if __name__ == '__main__': account = CredentialProviderAccount(providers.DefaultCredentialsProvider()) # <odps_project> perlu diganti dengan nama Proyek Anda; <odps_endpoint> perlu diganti dengan Endpoint wilayah tempat Proyek Anda berada. o = ODPS( account=account, project="<odps_project>", endpoint="<odps_endpoint>" ) for t in o.list_tables(): print(t) Dimana: <odps_project> perlu diganti dengan nama Proyek Anda. Anda dapat masuk ke Konsol MaxCompute dan melihat nama Proyek spesifik di Workspace > Project Management di wilayah tertentu. Catatan Jika Anda menggunakan pengguna RAM, pastikan pengguna tersebut memiliki izin operasi untuk proyek. Untuk informasi lebih lanjut, lihat Otorisasi pengguna lain. <odps_endpoint> perlu diganti dengan Endpoint wilayah tempat Proyek Anda berada. Karena EAS tidak terhubung ke jaringan publik secara default, Anda harus mengonfigurasi alamat Endpoint jaringan internal (seperti https://service.cn-hangzhou-vpc.maxcompute.aliyun-inc.com/api). Jika Anda perlu menggunakan Endpoint jaringan publik (seperti https://service.cn-hangzhou.maxcompute.aliyun.com/api), Anda perlu mengonfigurasi virtual private cloud (VPC) dengan kemampuan akses jaringan publik untuk EAS. Untuk informasi lebih lanjut, lihat Konfigurasikan konektivitas jaringan.
   	Third-party Library Configuration	Konfigurasikan Daftar Pustaka Pihak Ketiga berikut untuk menginstal alat Alibaba Cloud Credentials, SDK PyODPS, dan SDK OSS. alibabacloud_credentials pyodps oss2 Catatan Jika pustaka pihak ketiga sudah diinstal sebelumnya di dalam gambar, Anda dapat melewati konfigurasi ini.
   Service Configuration		Mengambil Peran Default PAI sebagai contoh, tambahkan konfigurasi berikut ke JSON di bagian Service Configuration: "options": { "enable_ram_role": true } Catatan Jika Anda menggunakan JSON untuk penyebaran langsung dan ingin memanggil SDK OSS melalui peran default PAI, pastikan konfigurasi layanan mencakup bidang metadata.workspace_id.

3. Setelah konfigurasi parameter selesai, klik Deploy.

   Setelah layanan berhasil diterapkan, Anda dapat melihat hasil operasi di log layanan.

FAQ

Bagaimana cara menyelesaikan kesalahan saat mengonfigurasi peran RAM kustom saat menerapkan layanan EAS?

• Pesan kesalahan:

  Masuk ke Konsol RAM dan periksa apakah peran tersebut ada.

  • Jika peran tidak ada, ubah peran RAM kustom instance menjadi peran yang ada.

  • Jika peran ada, hubungi akun utama untuk memberikan sub-akun kebijakan izin kustom berikut (ganti ${RoleName} dengan nama peran RAM) untuk mendapatkan izin melewatkan peran RAM ke instance EAS. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}"
        }
      ]
    }

• Pesan kesalahan Event Penyebaran adalah tidak dapat dirender, error: gagal mengasumsikan peran untuk pengguna, alasan: Anda tidak berwenang melakukan tindakan ini. Anda harus diotorisasi oleh RAM..

  Anda dapat melihat ini di halaman Elastic Algorithm Service dengan mengklik nama layanan dan kemudian beralih ke tab Event Penyebaran, seperti yang ditunjukkan pada gambar berikut:

  Dalam banyak kasus, kesalahan ini terjadi karena tidak ada kebijakan kepercayaan yang dikonfigurasi untuk peran RAM. Untuk mengonfigurasi kebijakan kepercayaan untuk peran RAM, lakukan langkah-langkah berikut:

  1. Masuk ke Konsol RAM sebagai administrator RAM.

  2. Di panel navigasi kiri, pilih Identity Management > Roles.

  3. Di halaman Roles, klik nama peran RAM target.

  4. Di tab Kebijakan Kepercayaan, klik Edit Kebijakan Kepercayaan untuk menambahkan kepercayaan untuk "eas.pai.aliyuncs.com".

  5. Di editor kode, modifikasi isi kebijakan kepercayaan dan klik OK.

     Contoh kode berikut menunjukkan dokumen kebijakan asli dari peran RAM:

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     Isi kebijakan baru adalah sebagai berikut:

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com",
               "eas.pai.aliyuncs.com" 
             ]
           }
         }
       ],
       "Version": "1"
     }