Realtime Compute for Apache Flink：使用 RAM 角色訪問雲資源（公測）

1. 建立 RAM 角色

1. 登入 RAM 控制台 - 角色頁面，單擊建立角色。保持預設選項（信任主體為當前雲帳號），並單擊確定。

2. 填寫一個有辨識度的角色名稱，例如 FlinkRoleForOSSRead，單擊確定。

2. 添加信任策略

Flink 將通過扮演 RAM 角色擷取臨時憑證，RAM 角色需信任 Flink 對其進行扮演。

角色建立成功後，在角色詳情頁的信任策略頁簽下，單擊編輯信任策略，在 Principal 中添加 "Service": ["stream.aliyuncs.com"]，信任 Flink 扮演該角色。更多資訊，請參見修改 RAM 角色的信任策略。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "stream.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

3. 授予雲資源存取權限

Flink 將使用 RAM 角色身份來訪問雲資源，需提前為 RAM 角色授予相關許可權，否則訪問報錯。

在角色詳情頁的許可權管理頁簽下，單擊新增授權，按需為該角色授予訪問目標雲資源的許可權。

例如，如果需要訪問 OSS，可授予 AliyunOSSReadOnlyAccess（唯讀）或 AliyunOSSFullAccess（完全）許可權。更多資訊，請參見管理 RAM 角色的許可權。

建立權限原則

登入 RAM 控制台 - 權限原則頁面，單擊建立權限原則。切換至指令碼編輯，編輯權限原則內容。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListRoles"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::<account-id>:role/<role-name>",
      "Condition": {
        "StringEquals": {
          "acs:Service": "stream.aliyuncs.com"
        }
      }
    }
  ]
}

單擊確定，將權限原則儲存，例如命名為 FlinkPassRolePolicy。更多資訊，請參見建立自訂權限原則。

為 RAM 使用者授權

1. 登入 RAM 控制台 - 使用者頁面，找到需要授權的 RAM 使用者，單擊操作列的新增授權。

2. 在新增授權面板中，搜尋並選中步驟二建立的權限原則（例如 FlinkPassRolePolicy），單擊確認新增授權。更多資訊，請參見管理 RAM 使用者的許可權。

添加引用 RAM 角色

1. 登入Realtime Compute控制台，進入目標工作空間。

2. 在左側導覽列，選擇安全服務 > 訪問安全。

3. 單擊RAM 角色頁簽。

4. 單擊引用 RAM 角色。

5. 在彈窗中配置以下資訊。

   配置項	是否必填	說明
   RAM 角色	是	下拉選擇角色。支援按角色名稱模糊搜尋，支援多選（單次至多 5 個）。已引用的角色不可重複選擇。 說明 角色列表為當前專案空間所屬阿里雲主帳號下的普通服務角色列表。 操作者需與當前專案空間同屬一個阿里雲主帳號，且有 ListRoles 許可權，才能查看到對應的角色。
   描述	否	角色描述，最多 256 個字元。

6. 單擊測試校正，系統會自動進行授權檢測以下兩項：

   • PassRole 許可權檢測：目前使用者有對所選 RAM 角色執行 ram:PassRole 的許可權。

   • 信任策略檢測：所選 RAM 角色信任當前 Flink 專案空間對其進行扮演。

7. 檢測通過後，單擊確定。

在作業中使用 RAM 角色

引用 RAM 角色後，在作業代碼中通過 akless.assume-role.role-name 參數指定角色名稱，Flink 將通過扮演該角色擷取臨時憑證 STS Token，以該角色身份訪問雲資源。

# OSS
fs.oss.bucket.<bucketName>.akless.assume-role.role-name: <your-role-name>
fs.oss.inner.bucket: <工作空間關聯的bucketName>

# OSS-HDFS
fs.oss.jindo.akless.assume-role.role-name: <your-role-name>

編輯 RAM 角色

1. 在安全服務 > 訪問安全 > RAM 角色中，找到目標角色，單擊操作列的編輯。

2. 在彈窗中修改描述。角色名稱不可修改。

3. 單擊測試校正，檢測通過後單擊確定。

移除 RAM 角色

1. 在安全服務 > 訪問安全 > RAM 角色中，找到目標角色，單擊操作列的移除。

2. 在確認彈窗中輸入角色名稱，單擊確定移除。

重新整理角色狀態

單擊 RAM 角色列表右上方的重新整理按鈕，可批量檢測所有已引用角色的狀態。

模型一：直接扮演（sts:AssumeRole）

• 核心動作：一個受信實體（如 RAM 使用者、應用程式）主動調用 STS 的 AssumeRole 介面，以擷取一個 RAM 角色的臨時憑證，從而"變身"為該角色。

• 授權鏈路：實體A → 調用 sts:AssumeRole → 扮演角色R → 獲得角色R的許可權。

• 許可權需求：實體 A 本身必須被授予 sts:AssumeRole 許可權。

• 典型情境：一個應用程式（運行在 ECS 或本機伺服器上）需要臨時訪問 OSS。該程式使用自身的 AK 調用 AssumeRole，擷取臨時憑證後，再用該憑證訪問 OSS。在此情境中，實體 A 是主動的執行者。

模型二：委託授權（ram:PassRole）

• 核心動作：一個實體（如 RAM 使用者）將一個 RAM 角色"傳遞"給一個雲端服務（如 Flink），授權該服務去扮演這個角色。使用者本身並不扮演角色。

• 授權鏈路：使用者 User_B → 傳遞角色 Role_A → 給雲端服務 → 雲端服務調用 sts:AssumeRole 扮演角色 Role_A → 雲端服務獲得角色 Role_A 的許可權。

• 許可權需求：使用者 B 必須被授予 ram:PassRole 許可權，角色 A 必須信任雲端服務對其進行扮演。

• 典型情境：開發人員（使用者 User_B）在 Flink 控制台開發作業，並指定一個角色 Role_A。為讓 Flink 服務能夠代表使用者去訪問雲資源，使用者必須有權將角色 Role_A"傳遞"給 Flink 服務。在此情境中，使用者是授權者，雲端服務是代為執行者。

以 Flink 訪問 OSS 為例

委託授權（PassRole）模型的互動流程分為配置和運行階段：

• 設定階段：

  1. RAM 管理員完成基礎設定，包括建立角色、配置其許可權和信任關係、為使用者授予 PassRole 許可權。

  2. 使用者在 Flink 中添加引用 RAM 角色，Flink 平台校正使用者是否有權"傳遞"這個角色，以及這個角色是否信任 Flink 對其進行扮演。

• 運行階段：

  1. 服務扮演角色：Flink 服務（stream.aliyuncs.com）作為真正的扮演者，向 STS 發起 AssumeRole 請求。

  2. STS 授權與服務執行：STS 在確認 Flink 是角色 A 所信任的服務後，向其頒發臨時憑證。Flink 服務使用此憑證訪問 OSS，完成使用者委託的任務。