DataWorks:個人開発環境の RAM ロールの設定

シナリオ1：DataWorks デフォルトロールの関連付け

Notebook または Python を使用して開発を行う場合、AccessKey ID と AccessKey Secret を提供することなく、一部のクラウド製品にアクセスできます。

DataWorks デフォルトロールは、MaxCompute、Hologres、EMR Serverless Spark、Realtime Compute for Apache Flink、および Platform for AI (PAI) へのアクセス権限のみを付与します。このロールから発行された一時的なアクセス認証情報を使用してこれらのサービスにアクセスする場合、個人開発環境の所有者と同じ権限を持つことになります。

DataWorks デフォルトロールをインスタンスに関連付けると、権限昇格なしに基本的な開発リソースへアクセスできる一時的なアクセス認証情報が利用可能になり、カスタム RAM ロールを作成する必要がなくなります。

DataWorks デフォルトロールを関連付けた後、次のシナリオでは AccessKey を設定する必要はありません。

• Notebook の SQL セルを使用して、MaxCompute、Hologres、EMR Serverless Spark、Realtime Compute for Apache Flink、または Platform for AI (PAI) にアクセスする場合。

• ODPS SDK を使用して、インスタンス所有者に実行権限がある MaxCompute プロジェクトにタスクを送信する場合。

[詳細情報] セクションで、[インスタンス RAM ロール] 設定を見つけ、[DataWorks デフォルトロール] を選択します。

シナリオ2：RAM ロールの関連付けなし

インスタンスがワークスペースで公開されている場合は、権限の漏洩を防ぐため、RAM ロールを関連付けないでください。インスタンスを作成または変更する際、[詳細情報] セクションの [インスタンス RAM ロール] オプションを [ロールを関連付けない] に設定してください。

RAM ロールが関連付けられていない場合は、コード内で AccessKey ID と AccessKey Secret を設定することで、クラウド製品にアクセスできます。

方法1：Credentials ツールの使用

Credentials ツールは、インスタンス作成時に自動的に挿入されるローカルサービスを呼び出します。このサービスは STS の一時的な認証情報を取得し、自動的にローテーションします。

Credentials ツールを使用してインスタンス RAM ロールの認証情報を取得するには、次のコマンドを実行してツールをインストールします。以下の例では Python を使用します。

pip install alibabacloud_credentials

次のコードは、Credentials ツールの使用例を示しています。他の言語の SDK の例については、「アクセス認証情報を使用して API 操作を呼び出すためのベストプラクティス」をご参照ください。

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig
credentialsConfig = CredConfig(
	type='credentials_uri'   # オプション。デフォルトの認証情報チェーンで他のプロバイダーを設定していない場合は、このパラメーターを明示的に指定する必要はありません。Credentials SDK は URI を使用して自動的に一時的な認証情報を取得します。
)
credentialsClient = CredClient(credentialsConfig)

方法2：ローカルサービスのエンドポイントへのクエリ

個人開発環境インスタンス内のターミナルから、次のコマンドを実行して、挿入されたローカルサービスに直接クエリを実行し、認証情報を取得できます。

# インスタンス RAM ロールの一時的なアクセス認証情報を取得します。
curl $ALIBABA_CLOUD_CREDENTIALS_URI

以下はレスポンスの例です。パラメーターの説明は次のとおりです。

• SecurityToken：インスタンス RAM ロールの一時的なトークン。

• Expiration：一時的なアクセス認証情報の有効期限。

{
	"Code": "Success",
	"AccessKeyId": "************",
	"AccessKeySecret": "************",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}

方法3：ローカルの認証情報ファイルの読み取り

個人開発環境インスタンス内の特定のパスにあるファイルにアクセスして、インスタンス RAM ロールの一時的なアクセス認証情報を取得できます。ファイルは /mnt/.alibabacloud/credentials にあり、次の内容が含まれています。

{
	"AccessKeyId": "*********",
	"AccessKeySecret": "***************",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}