Platform For AI:Configurar a função RAM do EAS

"options": {
  "enable_ram_role": true
}

Etapa 1: Crie uma função RAM

1. Faça logon no RAM console e create a RAM role.

2. Defina os seguintes parâmetros:

   Parâmetro	Valor
   Principal Type	Cloud Service
   Principal Name	Platform for AI/PAI (eas.pai.aliyuncs.com)

3. Na aba Trust Policy da nova função, confirme se eas.pai.aliyuncs.com aparece no array de principais Service. Essa política de confiança controla quais services podem assumir a função. Uma política de confiança configurada corretamente tem a seguinte aparência:

   Importante

   A ausência dessa entrada é a causa mais comum do erro de implantação failed to assume role. Se a função foi criada com um principal diferente (por exemplo, outro service), clique em Edit Trust Policy e adicione "eas.pai.aliyuncs.com" ao array Service.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "Service": [
             "eas.pai.aliyuncs.com"
           ]
         }
       }
     ],
     "Version": "1"
   }

Etapa 2: Conceder permissões à função

Attach system or custom policies para dar à função acesso aos recursos necessários ao service. Por exemplo, anexe AliyunOSSReadOnlyAccess para permitir acesso de leitura ao OSS.

Etapa 3: Associar a função durante a implantação

Adicione o seguinte trecho ao json na seção Service Configuration. Substitua role_arn pelo ARN da função criada. Para localizar o ARN, consulte View the RAM role.

"options": {
  "enable_ram_role": true
},
"role_arn": "acs:ram::111*************:role/${RoleName}"

Conceder permissão PassRole a um usuário RAM

Se você implantar services EAS como usuário RAM (subconta), a conta primária deverá conceder a permissão ram:PassRole. Sem ela, a implantação falha com um erro de configuração de função.

Solicite à conta primária que anexe a seguinte política personalizada ao seu usuário RAM. Substitua ${RoleName} pelo nome da função RAM associada ao service EAS. Para obter ajuda, consulte Create a custom permission policy e Grant permissions to a RAM user.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::*:role/${RoleName}"
    }
  ]
}

Função não encontrada

Sintoma: Erro Permission Denied com o código Forbidden.PrivilegeDenied. A ação de autorização é ram:PassRole, e o resultado da verificação indica permissões insuficientes.

Verifique no RAM console se a função existe.

• A função não existe: Atualize a configuração do service para referenciar o nome de uma função existente.

• A função existe, mas o erro persiste: O usuário RAM que implanta o service não possui a permissão ram:PassRole. Solicite à conta primária que anexe a seguinte política (substitua ${RoleName} pelo nome da função). Consulte Grant permissions to a RAM user.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ram:PassRole",
        "Resource": "acs:ram::*:role/${RoleName}"
      }
    ]
  }

Falha ao assumir a função

Sintoma: A aba Deployment Events na página Elastic Algorithm Service exibe:

unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.

A política de confiança da função RAM não inclui eas.pai.aliyuncs.com como principal confiável. Para corrigir:

1. Faça logon no console RAM como administrador RAM.

2. No painel de navegação à esquerda, escolha Identities > Roles.

3. Clique em no nome da função RAM de destino.

4. Na aba Trust Policy, clique em Edit Trust Policy.

5. No array Service, adicione "eas.pai.aliyuncs.com" e clique em OK.

Antes:

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": ["xxx.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

Depois:

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "RAM": ["acs:ram::aaa:root"],
        "Service": [
          "xxx.aliyuncs.com",
          "eas.pai.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}