Elastic Compute Service:インスタンス RAM ロール

メリット

• ECS インスタンス内でのセキュアで便利な API 操作呼び出し: プロジェクトが ECS インスタンスにデプロイされている場合、ECS が提供する機能を使用して、コード内に AccessKey ペアを設定することなく、一時的なアクセス認証情報として STS トークンを取得して API 操作を呼び出すことができます。 これにより、AccessKey ペアの漏洩のリスクが軽減されます。

• 簡素化された RAM ID スイッチオーバー: サービスのアクセス認証情報として RAM ID の AccessKey ペアを使用する場合、RAM ID を変更するときに構成またはコード内の AccessKey ペアを変更し、サービスを再起動する必要があります。 インスタンス RAM ロールを使用してサービスの一時的なアクセス認証情報として STS トークンを取得する場合、RAM ID を変更するときにインスタンス RAM ロールを変更するだけで済みます。 追加の構成は必要ありません。

• きめ細かい権限管理: 特定のポリシーを含むインスタンス RAM ロールを異なる ECS インスタンスにアタッチできます。 これにより、ビジネス要件に基づいてきめ細かいアクセスの制御を実装できます。

制限事項

インスタンス RAM ロールを ECS インスタンスにアタッチする際には、次の制限事項に注意してください。

• インスタンス RAM ロールをアタッチする ECS インスタンスは、仮想プライベートクラウド (VPC) 内に存在する必要があります。

• 1 つの ECS インスタンスには、1 つのインスタンス RAM ロールのみアタッチできます。

インスタンス RAM ロールを作成し、ECS インスタンスに適用する

インスタンス RAM ロールの一時的なアクセス認証情報を取得する

メタデータサービスにアクセスすることにより、ECS インスタンス内から一時的なアクセス認証情報を取得できます。 一時的なアクセス認証情報の有効性は保証されています。 詳細については、「インスタンスメタデータを取得する」をご参照ください。

インスタンス RAM ロールを使用して API 操作を呼び出す

この例では、Linux ECS インスタンスにデプロイされた Python アプリケーションが、インスタンスにアタッチされたインスタンス RAM ロールを使用して API 操作を呼び出し、OSS バケットからファイルをダウンロードします。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # アクセスクレデンシャルのタイプを指定します。このパラメーターを ecs_ram_role に設定します。
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # OSS バケットを初期化します。
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # イメージをダウンロードします。
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # グローバル変数を定義します。
    role_name = 'role_name'  # インスタンス RAM ロールの名前を指定します。
    bucket_name = 'bucket_name'  # OSS バケットの名前を指定します。
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # OSS バケットのエンドポイントを指定します。内部エンドポイントを使用する場合は、ECS インスタンスと OSS バケットが同じリージョンにあることを確認してください。
    object_key = 'testfolder/example.png'  # ダウンロードするイメージが OSS に保存されているパスを指定します。パスにはバケット名は含まれません。
    local_file = '/localpath/to/image.png'  # イメージの名前と、ECS インスタンスにイメージを保存するパスを指定します。
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

その他の操作

インスタンス RAM ロールのデタッチまたは変更

参考資料

• セルフマネージド アプリケーションが ECS インスタンスにデプロイされている場合は、インスタンス RAM ロールを ECS インスタンスにアタッチし、インスタンス RAM ロールを使用してインスタンスから Key Management Service (KMS) にアクセスできます。詳細については、「ECS インスタンスにアタッチされたインスタンス RAM ロールを使用して KMS に安全にアクセスする」をご参照ください。

• ECS インスタンスが特定の権限を必要としなくなった場合は、インスタンスにアタッチされているインスタンス RAM ロールから権限を取り消すことができます。詳細については、「RAM ロールから権限を取り消す」をご参照ください。

• プレーンテキストの AccessKey ペアを Alibaba Cloud の API 操作を呼び出すために使用するコードにハードコードした場合、コードリポジトリの権限管理が不適切なために AccessKey ペアが漏洩する可能性があります。Alibaba Cloud の API 操作を呼び出すには、ハードコードされた AccessKey ペアではなくアクセス認証情報を使用することをお勧めします。詳細については、「アクセス認証情報を使用して API 操作を呼び出すためのベストプラクティス」および「認証情報セキュリティ ソリューション」をご参照ください。