Platform For AI:DSW インスタンスの RAM ロールの設定

PAI デフォルトロール

Platform for AI (PAI) はデフォルトロールを提供します。このロールをインスタンスに付与すると、AccessKey を設定することなく、次のリソースに自動的にアクセスできるようになります。

• ODPS SDK を使用して、インスタンス所有者が実行権限を持つ MaxCompute プロジェクトにジョブを送信できます。

• OSS SDK を使用して、現在のワークスペースに設定されたデフォルトのストレージパスバケット内のデータにアクセスできます。

• WebIDE で Tongyi Lingma サービスを使用できます。

• PAI または PAI-DLC SDK を使用して、現在のワークスペースにトレーニングジョブを作成および送信できます。

カスタムロール

1. RAM コンソールにログインし、RAM ロールを作成します。詳細な手順については、「信頼できる Alibaba Cloud サービスの RAM ロールの作成」をご参照ください。

   主要なパラメータを次のように設定します。

   • 信頼されるエンティティタイプ: Alibaba Cloud サービス

   • 信頼されるエンティティ名: [Platform for AI] (pai.aliyun.cs.com)

2. RAM ロールに権限を付与します。

   [権限の追加] をクリックし、システムポリシーまたはカスタム権限ポリシーを RAM ロールにアタッチします。これにより、ロールに必要なリソースへのアクセスまたは操作を行う権限が付与されます。たとえば、AliyunOSSFullAccess ポリシーを追加します。詳細については、「ステップ 3: RAM ロールへの権限の付与」をご参照ください。

   説明

   RAM ユーザーを使用して DSW インスタンスを操作する場合は、ルートアカウント管理者に次の権限ポリシーを作成し、お客様の RAM ユーザーにアタッチするよう依頼してください。このポリシーにより、RAM ユーザーがインスタンス RAM ロールを使用できるようになります。

   次のコードは、必要な権限ポリシーを示しています。 ${RoleName} を DSW インスタンス RAM ロールの名前に置き換えてください。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "ram:PassRole",
         "Resource": "acs:ram::*:role/${RoleName}"
       }
     ]
   }

関連付けなし

インスタンスがワークスペース内で公開されている場合、権限の漏洩を防ぐため、RAM ロールを関連付けないことを推奨します。 インスタンスを作成または設定を変更する際に、Advanced Information セクションで、Instance RAM Role を Does Not Associate Role に設定します。

Credentials ツール

Alibaba Cloud SDK の Credentials ツールの使用を推奨します。このツールは認証情報の取得と更新を自動的に処理するため、クラウドサービスへのアクセスのベストプラクティスとなります。

1. 依存関係をインストールします (Python の例)。

   pip install alibabacloud_credentials

2. 使用例:

   from alibabacloud_credentials.client import Client as CredClient
   from alibabacloud_credentials.models import Config as CredConfig
   credentialsConfig = CredConfig(
   	type='credentials_uri'   # オプション。デフォルトの認証情報チェーンで他のアクセス方法を設定していない場合、type を明示的に指定する必要はありません。Credentials SDK は URI メソッドを使用して一時的な認証情報を取得します。
   )
   credentialsClient = CredClient(credentialsConfig)

他の言語の SDK の例については、「認証情報を使用して Alibaba Cloud OpenAPI にアクセスするためのベストプラクティス」をご参照ください。

ローカルサービス

DSW インスタンス内で、ターミナルで次のコマンドを実行し、ローカルに注入されたサービスから認証情報を取得します。

# インスタンス RAM ロールの一時的なアクセス認証情報を取得
curl $ALIBABA_CLOUD_CREDENTIALS_URI

次はレスポンスの例です。

• SecurityToken：インスタンス RAM ロールの一時的なトークン。

• Expiration：一時的なアクセス認証情報の有効期限。

{
    "Code": "Success",
    "AccessKeyId": "STS.N*********7",
    "AccessKeySecret": "3***************d",
    "SecurityToken": "DFE32G*******",
    "Expiration": "2024-05-21T10:39:29Z"
}

ローカルファイル

DSW インスタンスでは、PAI がインスタンス RAM ロールの一時的な認証情報を含むファイルを自動的に注入し、定期的に更新します。パス /mnt/.alibabacloud/credentials からファイルを読み取ることで、これらの認証情報を取得できます。ファイルの内容は次のとおりです。

{
    "AccessKeyId": "STS.N*********7",
    "AccessKeySecret": "3***************d",
    "SecurityToken": "DFE32G*******",
    "Expiration": "2024-05-21T10:39:29Z"
}