Platform For AI:EAS RAM ロールの設定

ステップ 1：RAM ロールの作成

1. RAM コンソールにログインし、RAM ロールを作成します。

2. 次のパラメーターを設定します。

   パラメーター	値
   プリンシパルタイプ	Cloud Service
   プリンシパル名	Platform for AI/PAI (eas.pai.aliyuncs.com)

3. 新しいロールの [信頼ポリシー] タブで、Service プリンシパル配列に eas.pai.aliyuncs.com が表示されていることを確認します。この信頼ポリシーは、どのサービスがロールを偽装できるかを制御します。正しく設定された信頼ポリシーは以下のとおりです。

   重要

   このエントリがないことは、failed to assume role デプロイメントエラーの最も一般的な原因です。ロールが別のプリンシパル (たとえば、別のサービスなど) で作成された場合は、[信頼ポリシーの編集] をクリックし、"eas.pai.aliyuncs.com" を Service 配列に追加します。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": ["acs:ram::aaa:root"],
           "Service": ["xxx.aliyuncs.com"]
         }
       }
     ],
     "Version": "1"
   }

ステップ 2：ロールへの権限付与

システムポリシーまたはカスタムポリシーをアタッチして、サービスが必要とするリソースへのアクセス権をロールに付与します。例えば、AliyunOSSReadOnlyAccess をアタッチすると、OSS への読み取りアクセスが許可されます。

ステップ 3：デプロイ時のロールの関連付け

[サービス設定] セクションの JSON に次の内容を追加し、role_arn を作成したロールの ARN で置き換えます。 ARN を確認するには、「RAM ロールを表示する」をご参照ください。

"options": {
  "enable_ram_role": true
},
"role_arn": "acs:ram::111*************:role/${RoleName}"

RAM ユーザーへの PassRole 権限の付与

RAM ユーザー (サブアカウント) として EAS サービスをデプロイする場合、プライマリアカウントは ram:PassRole 権限を付与する必要があります。この権限がないと、ロール設定エラーでデプロイが失敗します。

プライマリアカウントに依頼して、ご利用の RAM ユーザーに次のカスタムポリシーをアタッチしてください。${RoleName} を、EAS サービスに関連付けられている RAM ロールの名前に置き換えます。詳細については、「カスタム権限ポリシーの作成」および「RAM ユーザーへの権限付与」をご参照ください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/${RoleName}"
    }
  ]
}

ロールが見つからない

現象：エラーコード Forbidden.PrivilegeDenied の Permission Denied (権限拒否) エラーが発生します。権限付与のアクションは ram:PassRole で、権限チェックの結果は権限が不十分であることを示しています。

RAM コンソールでロールが存在するかどうかを確認します。

• ロールが存在しない場合：サービス構成を更新して、既存のロール名を参照するようにします。

• ロールは存在するがエラーが続く場合：サービスをデプロイしている RAM ユーザーに ram:PassRole 権限がありません。プライマリアカウントに依頼して、次のポリシーをアタッチしてもらいます (${RoleName} をロール名に置き換えます)。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ram:PassRole",
        "Resource": "acs:ram::*:role/${RoleName}"
      }
    ]
  }

ロールの偽装に失敗

症状: [Elastic Algorithm Service] ページの [デプロイメントイベント] タブに、次の内容が表示されます。

unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.

RAM ロールの信頼ポリシーに、信頼されたプリンシパルとして eas.pai.aliyuncs.com が含まれていません。これを修正するには、次の手順を実行します。

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[アイデンティティ] > [ロール] を選択します。

3. 対象の RAM ロールの名前をクリックします。

4. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックします。

5. Service 配列に "eas.pai.aliyuncs.com" を追加し、[OK] をクリックします。

変更前：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": ["xxx.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

変更後：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": [
          "xxx.aliyuncs.com",
          "eas.pai.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}