Platform For AI:EAS RAM ロールの設定

ステップ 1： RAM ロールの作成

1. RAM コンソールにログインし、RAM ロールを作成します。

2. 以下のパラメーターを設定します。

   パラメーター	値
   [プリンシパルタイプ]	クラウドサービス
   [プリンシパル名]	Platform for AI/PAI (eas.pai.aliyuncs.com)

3. 新しいロールの [信頼ポリシー] タブで、Service プリンシパル配列に eas.pai.aliyuncs.com が含まれていることを確認します。 この信頼ポリシーは、どのサービスがロールを引き受けることができるかを制御します。 正しく設定された信頼ポリシーは、次のようになります。

   重要

   このエントリがないことが、failed to assume role デプロイエラーの最も一般的な原因です。ロールが別のプリンシパル (たとえば、別のサービスなど) で作成された場合は、[信頼ポリシーの編集] をクリックし、Service 配列に "eas.pai.aliyuncs.com" を追加します。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "Service": [
             "eas.pai.aliyuncs.com"
           ]
         }
       }
     ],
     "Version": "1"
   }

ステップ 2： ロールへの権限の付与

システムポリシーまたはカスタムポリシーをアタッチして、サービスが必要とするリソースへのアクセス権をロールに付与します。たとえば、AliyunOSSReadOnlyAccess をアタッチして OSS への読み取りアクセスを許可します。

ステップ 3： デプロイ時のロールの関連付け

[サービス設定] セクションの JSON に以下を追加します。role_arn を、作成したロールの ARN に置き換えます。ARN を確認するには、「RAM ロールの表示」をご参照ください。

"options": {
  "enable_ram_role": true
},
"role_arn": "acs:ram::111*************:role/${RoleName}"

RAM ユーザーへの PassRole 権限の付与

RAM ユーザー (サブアカウント) として EAS サービスをデプロイする場合、プライマリアカウントはあなたに ram:PassRole 権限を付与する必要があります。これがないと、デプロイはロール設定エラーで失敗します。

プライマリアカウントに、あなたの RAM ユーザーに以下のカスタムポリシーをアタッチするよう依頼してください。${RoleName} を EAS サービスに関連付けられた RAM ロールの名前に置き換えます。詳細については、「カスタム権限ポリシーの作成」と「RAM ユーザーへの権限の付与」をご参照ください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/${RoleName}"
    }
  ]
}

ロールが見つからない

現象： エラーコード Forbidden.PrivilegeDenied と共に Permission Denied エラーが発生します。認可アクションは ram:PassRole で、権限チェックの結果は権限不足を示しています。

RAM コンソールでロールが存在するかどうかを確認してください。

• ロールが存在しない： 存在するロール名を参照するようにサービス設定を更新します。

• ロールは存在するがエラーが続く： サービスをデプロイしている RAM ユーザーに ram:PassRole 権限がありません。プライマリアカウントに以下のポリシーをアタッチするよう依頼してください (${RoleName} はロール名に置き換えます)。詳細については、「RAM ユーザーへの権限の付与」をご参照ください。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ram:PassRole",
        "Resource": "acs:ram::*:role/${RoleName}"
      }
    ]
  }

ロールの引き受けに失敗

現象: [Elastic Algorithm Service] ページの [デプロイイベント] タブに、次の内容が表示されます。

unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.

RAM ロールの信頼ポリシーに、信頼されたプリンシパルとして eas.pai.aliyuncs.com が含まれていません。これを修正するには、次の手順を実行します。

1. RAM 管理者としてRAM コンソールにログインします。

2. 左側のナビゲーションペインで、[アイデンティティ] > [ロール] を選択します。

3. 対象の RAM ロールの名前をクリックします。

4. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックします。

5. Service 配列に "eas.pai.aliyuncs.com" を追加し、[OK] をクリックします。

変更前：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": ["xxx.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

変更後：

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": [
          "xxx.aliyuncs.com",
          "eas.pai.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}