O uso do PAI envolve dois tipos de autorização: a autorização de usuários do RAM para ativar e acessar cloud services, e a autorização de service para o PAI acessar outros services da Alibaba Cloud.
Autorize usuários do RAM
Uma conta da Alibaba Cloud não requer autorização adicional. É necessário autorizar um RAM user antes de fazer logon no console ou usar APIs para acessar recursos da conta. Esta seção descreve os seguintes métodos de autorização para usuários do RAM no PAI:
Anexe as Product system policies a um usuário do RAM para conceder rapidamente permissões de acesso ao console do PAI e de seus cloud services dependentes.
Anexe uma política personalizada a um usuário do RAM.
Autorize um usuário do RAM a ativar o PAI e comprar recursos do PAI
Anexe a política AliyunPAIFullAccess a um usuário do RAM para que ele possa ativar o PAI e comprar recursos do PAI. Para mais informações, consulte Manage RAM user permissions.
A política AliyunPAIFullAccess inclui permissões de administrador para comprar, crie e excluir recursos, além de gerencie completo de workspaces. Use esta política com cautela.
Recomendamos usar a conta da Alibaba Cloud ou configure uma política com as permissões mínimas necessárias para o usuário do RAM. Para mais informações, consulte Create a custom policy.
Autorize um usuário do RAM a usar products do PAI
O PAI disponibiliza Use workspaces to manage permissions para o gerencie de permissões. Adicione um usuário do RAM como membro do workspace e atribua uma das seguintes funções: Owner, Administrator, Algorithm Developer, Algorithm O&M, Labeling Administrator ou Visitor. Para consulte as permissões de cada função, consulte Appendix: Roles and permissions.
Para o iTAG, configure também permissões adicionais. Para mais informações, consulte Assign user roles.
-
O EAS fornece políticas de sistema para a autorização de usuários do RAM:
Permissões completas do EAS:
AliyunPAIEASFullAccess.Permissões de somente leitura do EAS:
AliyunPAIEASReadOnlyAccess.
A maioria dos recursos de AI Acceleration requer apenas permissões de subproduto para desenvolvimento, treinamento e inferência de modelos. Nenhuma autorização adicional é necessária. No entanto, o recurso de aceleração de conjuntos de dados exige que o usuário do RAM tenha as permissões
AliyunPAIFullAccesseAliyunDatasetAccFullAccess.
Autorize um usuário do RAM a ativar ou usar outros cloud services
Para consulte as dependências dos products do PAI em relação a outros cloud services, consulte Appendix: Cloud services that PAI depends on.
Para equilibrar conveniência e segurança, recomendamos o uso dos seguintes métodos de gerencie:
Use uma conta da Alibaba Cloud para ativar cloud services: Uma conta da Alibaba Cloud pode ativar diretamente vários cloud services sem autorização adicional. Esse método é adequado para a inicialização de recursos.
Use políticas do RAM para controlar as permissões de usuários do RAM: Conceda aos usuários do RAM as permissões mínimas necessárias para usar cloud services. Evite conceder permissões administrativas excessivas para reduzir riscos de segurança.
A tabela a seguir descreve as políticas de permissão configuráveis para usuários do RAM ativarem diferentes cloud services.
Políticas de ativação fornecidas na tabela:
Quando um usuário do RAM é adicionado como membro do workspace, ele herda permissões parciais para outros cloud services com base na função atribuída. Caso enfrente problemas de permissão ao ativar ou usar outros cloud services, consulte a tabela a seguir para conceder as permissões necessárias.
Por exemplo, para ativar o OSS com um usuário do RAM, anexe a política de sistema AliyunOSSFullAccess ao usuário do RAM. Para mais informações sobre as permissões do OSS, consulte OSS RAM Policy.
|
Cloud service |
Política para ativação |
Autorização de usuários do RAM |
Documentação |
|
OSS |
AliyunOSSFullAccess |
|
|
|
MaxCompute |
AliyunBSSOrderAccess, AliyunDataWorksFullAccess |
Adicione o usuário do RAM com a função MaxCompute Developer no workspace. Para mais informações, consulte Create and manage workspaces. |
|
|
Flink |
AliyunStreamFullAccess |
||
|
NAS |
AliyunNASFullAccess |
|
|
|
API Gateway |
AliyunApiGatewayFullAccess |
||
|
SLS |
AliyunLogFullAccess |
|
|
|
VPC |
AliyunVPCFullAccess |
|
|
|
CloudMonitor |
AliyunCloudMonitorFullAccess |
Operações comuns: Step 1: Configure alert contacts, Step 2: Configure alert rules |
|
|
Tracing Analysis |
AliyunARMSFullAccess |
Ativação: Quick start |
|
|
ACR |
AliyunContainerRegistryFullAccess |
Operações comuns: Build images on a Container Registry Enterprise Edition instance |
Autorize o PAI a acessar outros cloud services
A autorização para o PAI acessar outros services ocorre geralmente durante a ativação do PAI. Se você pular alguma etapa de autorização durante a ativação, o console solicitará que você a conclua. Verifique também o status de autorização seguindo estas etapas. O exemplo a seguir usa o Designer e o OSS:
Faça logon no PAI console.
No painel de navegação à esquerda, escolha . Encontre o OSS na seção do Designer.
-
Verifique o status de autorização do OSS na coluna Actions.
Se o OSS não estiver autorizado, clique em Actions > Authorize Now e siga as instruções para concluir a autorização.
Se o OSS já estiver autorizado, clique em Actions > View Authorization para visualize os detalhes da autorização.
Os products do PAI acessam outros cloud services por meio de funções de service e funções vinculadas ao service. A lista anterior não cobre todos os cenários. Para mais informações sobre products específicos, consulte:
Apêndice: Cloud services dos quais o PAI depende
|
Product do PAI |
Cloud service dependente |
|
iTAG |
OSS |
|
Designer |
|
|
DSW |
OSS, NAS, VPC |
|
DLC |
OSS, NAS, VPC |
|
AutoML |
OSS, MaxCompute |
|
EAS |
OSS, API Gateway, SLS, VPC, CloudMonitor |
|
LangStudio |
OSS, SLS, VPC, Tracing Analysis |
|
AI Assets |
ACR |