Realtime Compute for Apache Flink:RAM ロールを使用したクラウドリソースへのアクセス (ベータ版)

1. RAM ロールの作成

1. RAM コンソール - ロールページにログインし、[Create Role] をクリックします。デフォルトのオプション (信頼されたエンティティは現在の Alibaba Cloud アカウント) を維持し、[OK] をクリックします。

2. FlinkRoleForOSSRead のような、認識しやすいロール名を入力し、[OK] をクリックします。

2. 信頼ポリシーの追加

Flink は RAM ロールを引き受けて一時的な認証情報を取得します。RAM ロールは、Flink による引き受けを許可する必要があります。

ロールが作成された後、ロール詳細ページで [Trust Policy] タブをクリックし、[Edit Trust Policy] をクリックします。"Service": ["stream.aliyuncs.com"] を Principal に追加して、Flink がロールを引き受けることを信頼するようにします。詳細については、「RAM ロールの信頼ポリシーの変更」をご参照ください。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "stream.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

3. クラウドリソースへのアクセス権限の付与

Flink は RAM ロールの ID を使用してクラウドリソースにアクセスします。アクセスエラーを防ぐために、事前に必要な権限を RAM ロールに付与してください。

ロール詳細ページで [Permissions] タブをクリックし、[Grant Permission] をクリックして、対象のクラウドリソースにアクセスするための権限をロールに付与します。

たとえば、OSS にアクセスするには、AliyunOSSReadOnlyAccess (読み取り専用) または AliyunOSSFullAccess (全アクセス) 権限を付与します。詳細については、「RAM ロールへの権限付与」をご参照ください。

権限ポリシーの作成

RAM コンソール - ポリシーページにログインし、[Create Policy] をクリックします。[Script] モードに切り替えて、ポリシーの内容を編集します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListRoles"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::<account-id>:role/<role-name>",
      "Condition": {
        "StringEquals": {
          "acs:Service": "stream.aliyuncs.com"
        }
      }
    }
  ]
}

[OK] をクリックして、FlinkPassRolePolicy のようにポリシーを保存します。詳細については、「カスタムポリシーの作成」をご参照ください。

RAM ユーザーへの権限付与

1. RAM コンソール - ユーザーページにログインします。権限を付与する RAM ユーザーを見つけ、[Actions] 列の [Add Permissions] をクリックします。

2. [Add Permissions] パネルで、ステップ 2 で作成したポリシー (例： FlinkPassRolePolicy) を検索して選択し、[Confirm] をクリックします。詳細については、「RAMユーザーへの権限付与」をご参照ください。

RAM ロール参照の追加

1. Realtime Compute コンソールにログインし、対象のワークスペースに入ります。

2. 左側のナビゲーションペインで、[Security Services] > [Access Security] を選択します。

3. [RAM Roles] タブをクリックします。

4. [Reference RAM Role] をクリックします。

5. ダイアログボックスで、以下を設定します：

   項目	必須	説明
   RAM role	はい	ドロップダウンリストからロールを選択します。ロール名によるあいまい検索と複数選択 (1 回の操作で最大 5 つ) が可能です。すでに参照されているロールは再度選択できません。 説明 ロールリストには、現在の名前空間を所有する Alibaba Cloud アカウント配下の通常のサービスロールが含まれます。 オペレーターは現在の名前空間と同じ Alibaba Cloud アカウントに属しており、ロールを表示するための ListRoles 権限を持っている必要があります。
   Description	いいえ	ロールの説明。最大 256 文字。

6. [Test] をクリックします。システムは自動的に以下の 2 項目をチェックします：

   • PassRole 権限チェック：現在のユーザーが、選択された RAM ロールに対する ram:PassRole 権限を持っているか。

   • 信頼ポリシーチェック：選択された RAM ロールが、現在の Flink 名前空間による引き受けを信頼しているか。

7. チェックに合格したら、[OK] をクリックします。

ジョブでの RAM ロールの使用

RAM ロールが参照された後、ジョブコードで akless.assume-role.role-name パラメーターを使用してロール名を指定します。Flink はそのロールを引き受けて一時的な STS トークンを取得し、そのロールの権限でクラウドリソースにアクセスします。

# OSS
fs.oss.bucket.<bucketName>.akless.assume-role.role-name: <your-role-name>
fs.oss.inner.bucket: <workspace-associated-bucket-name>

# OSS-HDFS
fs.oss.jindo.akless.assume-role.role-name: <your-role-name>

RAM ロールの編集

1. [Security Services] > [Access Security] > [RAM Roles] で、対象のロールを見つけ、[Actions] 列の [Edit] をクリックします。

2. ダイアログボックスで、説明を変更します。ロール名は変更できません。

3. [Test] をクリックします。チェックに合格したら、[OK] をクリックします。

RAM ロールの削除

1. [Security Services] > [Access Security] > [RAM Roles] で、対象のロールを見つけ、[Actions] 列の [Remove] をクリックします。

2. 確認ダイアログボックスで、ロール名を入力し、[Confirm Removal] をクリックします。

ロールステータスの更新

RAM ロールリストの右上隅にある [Refresh] をクリックして、参照されているすべてのロールのステータスを一括で確認します。

モデル1：直接的な引き受け (sts:AssumeRole)

• 主要なアクション：信頼されたエンティティ (RAM ユーザーやアプリケーションなど) が、自ら STS の AssumeRole API を呼び出して RAM ロールの一時的な認証情報を取得し、実質的にそのロールになります。

• 認可チェーン：エンティティ A → sts:AssumeRoleを呼び出す → ロール R を引き受ける → ロール R の権限を取得する。

• 権限要件：エンティティ A には sts:AssumeRole 権限が付与されている必要があります。

• 典型的なシナリオ：ECS またはローカルサーバーで実行されているアプリケーションが、一時的に OSS にアクセスする必要がある場合。アプリケーションは自身の AccessKey ペアを使用して AssumeRole を呼び出し、一時的な認証情報を取得して、それを使用して OSS にアクセスします。このシナリオでは、エンティティ A が実行主体です。

モデル2：委任による承認 (ram:PassRole)

• 主要なアクション：エンティティ (RAM ユーザーなど) が、RAM ロールをクラウドサービス (Flink など) に「渡し」、そのサービスがロールを引き受けることを承認します。ユーザー自身はロールを引き受けません。

• 認可チェーン：ユーザー B → ロール A を渡す → クラウドサービスへ → クラウドサービスが sts:AssumeRole を呼び出してロール A を引き受ける → クラウドサービスがロール A の権限を取得する。

• 権限要件：ユーザー B には ram:PassRole 権限が付与されている必要があり、かつロール A はクラウドサービスによる引き受けを信頼している必要があります。

• 典型的なシナリオ：開発者 (ユーザー B) が Flink コンソールでジョブを開発し、ロール (ロール A) を指定する場合。Flink サービスがユーザーに代わってクラウドリソースにアクセスできるようにするには、ユーザーがロール A を Flink サービスに渡す権限を持っている必要があります。このシナリオでは、ユーザーが承認者であり、クラウドサービスが実行者です。

例：Flink による OSS へのアクセス

委任による承認 (PassRole) モデルのインタラクションフローは、設定フェーズとランタイムフェーズで構成されます：

• 設定フェーズ：

  1. RAM 管理者が、ロールの作成、その権限と信頼関係の設定、ユーザーへの PassRole 権限の付与など、基本的なセットアップを完了します。

  2. ユーザーが Flink で RAM ロールの参照を追加します。Flink プラットフォームは、ユーザーがロールを「渡す」権限を持っていること、およびロールが Flink による引き受けを信頼していることを検証します。

• ランタイムフェーズ：

  1. サービスによるロールの引き受け：実際のロール引き受け者である Flink サービス (stream.aliyuncs.com) が、AssumeRole リクエストを STS に送信します。

  2. STSの認可とサービスの実行：STS は、Flink がロール A によって信頼されていることを確認し、一時的な認証情報を発行します。Flink サービスはこれらの認証情報を使用して OSS にアクセスし、ユーザーから委任されたタスクを完了します。