云服务器 ECS：通过ECS实例RAM角色授权ECS访问其他云资源

功能优势

基于实例RAM角色获取临时访问凭证验证身份信息和访问权限控制，有以下优势：

• 增强通信安全性：使用STS临时凭证代替长期AccessKey，降低凭证泄漏的风险。

• 跨服务访问并精细化管理权限：通过为不同ECS实例赋予具有特定授权策略的RAM角色，确保实例仅能访问其所需的资源，实现权限最小化。

• 简化权限维护：无需直接在ECS实例上管理凭据，权限的调整仅需通过修改RAM角色的授权策略来实现，快捷地维护ECS实例拥有的访问权限。

使用限制

为ECS实例授予实例RAM角色存在以下限制：

• ECS实例的网络类型必须是专有网络VPC。

• 一台ECS实例只能授予一个实例RAM角色。

创建实例RAM角色并授予给ECS

基于实例RAM角色获取临时访问凭证

sudo pip install alibabacloud_credentials

from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config

config = Config(
	type='ecs_ram_role',
	# 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数
	role_name='<RoleName>'
)
cred = Client(config)

access_key_id = cred.get_access_key_id()
access_key_secret = cred.get_access_key_secret()
security_token = cred.get_security_token()
cred_type = cred.get_type

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ecs_ram_role");
        // 选填，该ECS角色的角色名称，不填会自动获取，但是建议加上以减少请求次数
        credentialConfig.setRoleName("<RoleName>");
        Client credentialClient = new Client(credentialConfig);
    }
}

收回/更改ECS的实例RAM角色

应用示例：使用实例RAM角色访问其他云资源

下文以部署在Linux ECS实例上的Python应用程序访问OSS下载图片到ECS本地为例，为您介绍如何通过实例RAM角色其他云资源。

1. 准备工作。

   1. 已创建ECS实例RAM角色，授予所需资源的访问权限（本文示例AliyunOSSReadOnlyAccessOSS），并将该实例RAM角色授予给ECS实例。

      具体操作，可参见创建实例RAM角色并授予给ECS。

   2. ECS实例所在的地域已创建了OSS存储空间（Bucket），并已获取Bucket的名称和Endpoint。

      具体操作，请参见创建存储空间。

2. 远程连接ECS实例，安装OSS Python SDK和alibabacloud_credentials。

   说明

   下文以Alibaba Cloud Linux操作系统为例，如果您使用的是其他操作系统，安装方式请参见安装OSS Python SDK。

   # 升级pip3和setuptools、wheel工具
   sudo pip3 install --upgrade pip setuptools wheel
   # 安credentials工具
   sudo pip3 install alibabacloud_credentials  
   # 安装OSS SDK依赖的python-devel包
   sudo yum install python3-devel
   # 安装OSS Python SDK
   sudo pip3 install oss2 

3. 使用实例RAM角色作为临时凭证访问OSS，并下载图片。

   Python示例代码如下（部分信息需参考注释，按实际情况替换）：

   import oss2
   from alibabacloud_credentials.client import Client
   from alibabacloud_credentials.models import Config
   from oss2 import CredentialsProvider
   from oss2.credentials import Credentials
   
   class CredentialProviderWarpper(CredentialsProvider):
       def __init__(self, client):
           self.client = client
   
       def get_credentials(self):
           access_key_id = self.client.get_access_key_id()
           access_key_secret = self.client.get_access_key_secret()
           security_token = self.client.get_security_token()
           return Credentials(access_key_id, access_key_secret, security_token)
   
     def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
       config = Config(
           type='ecs_ram_role',      # 访问凭证类型。固定为ecs_ram_role。
           role_name=role_name
       )
       cred = Client(config)
       credentials_provider = CredentialProviderWarpper(cred)
       auth = oss2.ProviderAuth(credentials_provider)
   
       # 初始化 OSS Bucket 对象
       bucket = oss2.Bucket(auth, endpoint, bucket_name)
       # 下载图片到本地
       bucket.get_object_to_file(object_key, local_file)
       print("Image downloaded successfully")
   
     if __name__ == "__main__":  
   
       # 定义全局变量
       role_name = 'oss-test'  # 需替换为实例RAM角色名称
       bucket_name = 'ecs-ram'  # 需替换为Bucket名称
       endpoint = 'http://oss-cn-hangzhou.aliyuncs.com'  # 需替换为OSS外网节点
       object_key = 'testfolder/example.png'  # 需替换为你要下载的图片在OSS中的完整存储路径（不包含Bucket名称）
       local_file = '/home/image.png'  # 需替换为图片需要存储在ECS的根路径，并定义图片名称
       download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

相关文档

• 当您的自建应用部署在阿里云ECS服务器上，且需要访问KMS应用时，可以使用ECS实例RAM角色访问KMS。具体操作，请参见使用ECS实例RAM角色安全访问KMS。

• 当ECS不需要某些资源访问权限时，可以通过移除实例RAM角色的权限，将这些权限移除。具体操作，请参见为RAM角色移除权限。

• 访问阿里云OpenAPI时，如果在代码中硬编码明文AK，容易因代码仓库权限管理不当造成AK泄露，建议您通过非AccessKey硬编码的方式编程，使用访问凭证访问阿里云OpenAPI，可参见使用访问凭证访问阿里云OpenAPI最佳实践和凭据的安全使用方案。