Platform For AI:EAS RAM ロールの構成

メリット

RAM ロールは、クラウド サービスが引き受けることができる信頼されたエンティティ ロールであり、「クロスサービス アクセス」の問題を解決するために使用されます。 ID 検証とアクセス制御のために RAM ロールに基づいて一時アクセス認証情報を取得することには、次のメリットがあります。

• セキュリティと機密性: サービス内で認証情報を管理する必要はありません。 STS 一時アクセス認証情報は長期 AccessKeys に取って代わり、キー漏洩のリスクを軽減します。

• 便利で制御可能: RAM ロール権限ポリシーを変更することで、開発者がサービス内のクラウド リソースにアクセスするための権限をより便利かつ正確に制御できます。

制限事項

現在、EAS サービスは 1 つの RAM ロールにのみ関連付けることができます。

構成方法

作成時に EAS サービスの RAM ロールを構成し、STS 一時アクセス認証情報を取得します。

"options": {
  "enable_ram_role": true
}

# インスタンス RAM ロールの一時承認アクセス認証情報を取得する
curl $ALIBABA_CLOUD_CREDENTIALS_URI

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******",
	"Expiration": "2024-05-21T10:39:29Z"
}

例

このセクションでは、EAS RAM ロールに基づいて PyODPS または OSS にアクセスする方法について説明します。 サービスイメージにコードを統合するか、モデル構成を使用してサービスインスタンスにマウントできます。 この例では、マウント方法を示します。 手順は次のとおりです。

1. [カスタムデプロイメント] ページに移動します。 詳細については、「サービスデプロイメント」をご参照ください。

2. [カスタムデプロイメント] ページで、次の主要パラメーターを構成します。 パラメーター構成の詳細については、「コンソールカスタムデプロイメントパラメーターの説明」をご参照ください。

   パラメーター		説明
   環境情報	実行コマンド	python /mnt/data/xx.py など、コードを実行するコマンドを追加します。
   	モデル構成	[モデル構成] を使用して、コードファイル xx.py を EAS サービスインスタンスにマウントします。 コードファイルが置かれているディレクトリを選択し、マウントパス /mnt/data/ を構成します。 コードファイルの内容の例は次のとおりです。 例 1：RAM ロールに基づいて OSS データにアクセスする import oss2 from alibabacloud_credentials.client import Client from alibabacloud_credentials import providers from itertools import islice if __name__ == '__main__': auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider()) # <oss_endpoint> は OSS バケット名に置き換える必要があります。<oss_bucket> は OSS バケットが配置されているリージョンのエンドポイントに置き換える必要があります。 bucket = oss2.Bucket(auth, '<oss_endpoint>', '<oss_bucket>' ) for b in islice(oss2.ObjectIterator(bucket), 10): print(b.key) ここで： <oss_bucket> は OSS バケット名に置き換える必要があり、現在のワークスペースにプリセットされているデフォルトの OSS バケットであることを確認します。 <oss_endpoint> は、OSS バケットが配置されているリージョンのエンドポイントに置き換える必要があります。 EAS はデフォルトでパブリックネットワークに接続されないため、内部ネットワークエンドポイントアドレス（oss-cn-hangzhou-internal.aliyuncs.com など）を構成する必要があります。 パブリックネットワークエンドポイント（oss-cn-hangzhou.aliyuncs.com など）を使用する必要がある場合は、EAS のパブリックネットワークアクセス機能を備えた仮想プライベートクラウド (VPC) を構成する必要があります。 詳細については、「ネットワーク接続を構成する」をご参照ください。 例 2：RAM ロールに基づいて PyODPS データにアクセスする from alibabacloud_credentials import providers from odps.accounts import CredentialProviderAccount from odps import ODPS if __name__ == '__main__': account = CredentialProviderAccount(providers.DefaultCredentialsProvider()) # <odps_project> はプロジェクト名に置き換える必要があります。<odps_endpoint> はプロジェクトが配置されているリージョンのエンドポイントに置き換える必要があります。 o = ODPS( account=account, project="<odps_project>", endpoint="<odps_endpoint>" ) for t in o.list_tables(): print(t) ここで： <odps_project> はプロジェクト名に置き換える必要があります。 MaxCompute コンソール にログインし、指定したリージョンの[ワークスペース] > [プロジェクト管理]で特定のプロジェクト名を表示できます。 説明 RAM ユーザーを使用する場合は、ユーザーがプロジェクトに対する操作権限を持っていることを確認してください。 詳細については、「他のユーザーを承認する」をご参照ください。 <odps_endpoint> は、プロジェクトが配置されているリージョンのエンドポイントに置き換える必要があります。 EAS はデフォルトでパブリックネットワークに接続されないため、内部ネットワークエンドポイントアドレス（https://service.cn-hangzhou-vpc.maxcompute.aliyun-inc.com/api など）を構成する必要があります。 パブリックネットワークエンドポイント（https://service.cn-hangzhou.maxcompute.aliyun.com/api など）を使用する必要がある場合は、EAS のパブリックネットワークアクセス機能を備えた仮想プライベートクラウド (VPC) を構成する必要があります。 詳細については、「ネットワーク接続を構成する」をご参照ください。
   	サードパーティライブラリ構成	以下の[サードパーティライブラリリスト]を設定して、Alibaba Cloud Credentials ツール、PyODPS SDK、および OSS SDK をインストールします。 alibabacloud_credentials pyodps oss2 説明 サードパーティライブラリがイメージにプリインストールされている場合は、この構成をスキップできます。
   サービス構成		PAI デフォルトロールを例に、[サービス構成] セクションの JSON に以下の構成を追加します。 "options": { "enable_ram_role": true } 説明 JSON を使用して直接デプロイし、PAI デフォルトロールを使用して OSS SDK を呼び出す場合は、サービス構成に metadata.workspace_id フィールドが含まれていることを確認する必要があります。

3. パラメーターの構成が完了したら、[デプロイ] をクリックします。

   サービスが正常にデプロイされた後、サービスログで実行結果を確認できます。

よくある質問

EAS サービスをデプロイする際に、カスタム RAM ロールの設定でエラーが発生した場合の解決方法

• エラーメッセージ:

  RAM コンソール にログインし、ロールが存在するかどうかを確認します。

  • ロールが存在しない場合は、インスタンスのカスタム RAM ロールを既存のロールに変更します。

  • ロールが存在する場合は、プライマリアカウントに連絡して、サブアカウントに次のカスタム権限ポリシー（${RoleName} を RAM ロールの名前に置き換える）を付与し、RAM ロールを EAS インスタンスに渡す権限を取得します。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}" // RAM ロールのリソース
        }
      ]
    }

• デプロイメントイベントのエラーメッセージは レンダリングできません、エラー: ユーザーのロールの引き受けに失敗しました、理由: この操作を実行する権限がありません。RAM によって承認される必要があります。 です。

  これは、[Elastic Algorithm Service] ページで、サービス名をクリックし、[デプロイメントイベント] タブに切り替えることで表示できます。次の図を参照してください:

  ほとんどの場合、このエラーは RAM ロールに信頼ポリシーが設定されていないために発生します。 RAM ロールの信頼ポリシーを設定するには、次の手順を実行します。

  1. RAM 管理者として RAM コンソール にログインします。

  2. 左側のナビゲーションウィンドウで、[ID 管理] > [ロール] を選択します。

  3. [ロール] ページで、対象の RAM ロールの名前をクリックします。

  4. [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックして、"eas.pai.aliyuncs.com" の信頼を追加します。

  5. コードエディターで、信頼ポリシーの内容を変更し、[OK] をクリックします。

     次のサンプルコードは、RAM ロールの元のポリシードキュメントを示しています。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole", // ロールを借用するためのアクション
           "Effect": "Allow", // 許可
           "Principal": { // 信頼できるエンティティ
             "RAM": [
               "acs:ram::aaa:root" // ルートアカウント
             ],
             "Service": [
               "xxx.aliyuncs.com" // サービス
             ]
           }
         }
       ],
       "Version": "1" // ポリシーのバージョン
     }

     新しいポリシーの内容は次のとおりです。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole", // ロールを借用するためのアクション
           "Effect": "Allow", // 許可
           "Principal": { // 信頼できるエンティティ
             "RAM": [
               "acs:ram::aaa:root" // ルートアカウント
             ],
             "Service": [
               "xxx.aliyuncs.com", // サービス
               "eas.pai.aliyuncs.com" // EAS サービス
             ]
           }
         }
       ],
       "Version": "1" // ポリシーのバージョン
     }