实时计算Flink版：使用 RAM 角色访问云资源（公测）

1. 创建 RAM 角色

1. 登录 RAM 控制台 - 角色页面，单击创建角色。保持默认选项（信任主体为当前云账号），并单击确定。

2. 填写一个有辨识度的角色名称，例如 FlinkRoleForOSSRead，单击确定。

2. 添加信任策略

Flink 将通过扮演 RAM 角色获取临时凭证，RAM 角色需信任 Flink 对其进行扮演。

角色创建成功后，在角色详情页的信任策略页签下，单击编辑信任策略，在 Principal 中添加 "Service": ["stream.aliyuncs.com"]，信任 Flink 扮演该角色。更多信息，请参见修改 RAM 角色的信任策略。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "stream.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

3. 授予云资源访问权限

Flink 将使用 RAM 角色身份来访问云资源，需提前为 RAM 角色授予相关权限，否则访问报错。

在角色详情页的权限管理页签下，单击新增授权，按需为该角色授予访问目标云资源的权限。

例如，如果需要访问 OSS，可授予 AliyunOSSReadOnlyAccess（只读）或 AliyunOSSFullAccess（完全）权限。更多信息，请参见管理 RAM 角色的权限。

创建权限策略

登录 RAM 控制台 - 权限策略页面，单击创建权限策略。切换至脚本编辑，编辑权限策略内容。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ram:ListRoles"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "acs:ram::<account-id>:role/<role-name>",
      "Condition": {
        "StringEquals": {
          "acs:Service": "stream.aliyuncs.com"
        }
      }
    }
  ]
}

单击确定，将权限策略保存，例如命名为 FlinkPassRolePolicy。更多信息，请参见创建自定义权限策略。

为 RAM 用户授权

1. 登录 RAM 控制台 - 用户页面，找到需要授权的 RAM 用户，单击操作列的新增授权。

2. 在新增授权面板中，搜索并选中步骤二创建的权限策略（例如 FlinkPassRolePolicy），单击确认新增授权。更多信息，请参见管理 RAM 用户的权限。

添加引用 RAM 角色

1. 登录实时计算控制台，进入目标工作空间。

2. 在左侧导航栏，选择安全服务 > 访问安全。

3. 单击RAM 角色页签。

4. 单击引用 RAM 角色。

5. 在弹窗中配置以下信息。

   配置项	是否必填	说明
   RAM 角色	是	下拉选择角色。支持按角色名模糊搜索，支持多选（单次至多 5 个）。已引用的角色不可重复选择。 说明 角色列表为当前项目空间所属阿里云主账号下的普通服务角色列表。 操作者需与当前项目空间同属一个阿里云主账号，且有 ListRoles 权限，才能查看到对应的角色。
   描述	否	角色描述，最多 256 个字符。

6. 单击测试校验，系统会自动进行授权检测以下两项：

   • PassRole 权限检测：当前用户有对所选 RAM 角色执行 ram:PassRole 的权限。

   • 信任策略检测：所选 RAM 角色信任当前 Flink 项目空间对其进行扮演。

7. 检测通过后，单击确定。

在作业中使用 RAM 角色

引用 RAM 角色后，在作业代码中通过 akless.assume-role.role-name 参数指定角色名称，Flink 将通过扮演该角色获取临时凭证 STS Token，以该角色身份访问云资源。

# OSS
fs.oss.bucket.<bucketName>.akless.assume-role.role-name: <your-role-name>
fs.oss.inner.bucket: <工作空间关联的bucketName>

# OSS-HDFS
fs.oss.jindo.akless.assume-role.role-name: <your-role-name>

编辑 RAM 角色

1. 在安全服务 > 访问安全 > RAM 角色中，找到目标角色，单击操作列的编辑。

2. 在弹窗中修改描述。角色名称不可修改。

3. 单击测试校验，检测通过后单击确定。

移除 RAM 角色

1. 在安全服务 > 访问安全 > RAM 角色中，找到目标角色，单击操作列的移除。

2. 在确认弹窗中输入角色名称，单击确定移除。

刷新角色状态

单击 RAM 角色列表右上角的刷新按钮，可批量检测所有已引用角色的状态。

模型一：直接扮演（sts:AssumeRole）

• 核心动作：一个受信实体（如 RAM 用户、应用程序）主动调用 STS 的 AssumeRole 接口，以获取一个 RAM 角色的临时凭证，从而"变身"为该角色。

• 授权链路：实体A → 调用 sts:AssumeRole → 扮演角色R → 获得角色R的权限。

• 权限需求：实体 A 本身必须被授予 sts:AssumeRole 权限。

• 典型场景：一个应用程序（运行在 ECS 或本地服务器上）需要临时访问 OSS。该程序使用自身的 AK 调用 AssumeRole，获取临时凭证后，再用该凭证访问 OSS。在此场景中，实体 A 是主动的执行者。

模型二：委托授权（ram:PassRole）

• 核心动作：一个实体（如 RAM 用户）将一个 RAM 角色"传递"给一个云服务（如 Flink），授权该服务去扮演这个角色。用户本身并不扮演角色。

• 授权链路：用户 User_B → 传递角色 Role_A → 给云服务 → 云服务调用 sts:AssumeRole 扮演角色 Role_A → 云服务获得角色 Role_A 的权限。

• 权限需求：用户 B 必须被授予 ram:PassRole 权限，角色 A 必须信任云服务对其进行扮演。

• 典型场景：开发者（用户 User_B）在 Flink 控制台开发作业，并指定一个角色 Role_A。为让 Flink 服务能够代表用户去访问云资源，用户必须有权将角色 Role_A"传递"给 Flink 服务。在此场景中，用户是授权者，云服务是代为执行者。

以 Flink 访问 OSS 为例

委托授权（PassRole）模型的交互流程分为配置和运行阶段：

• 配置阶段：

  1. RAM 管理员完成基础设置，包括创建角色、配置其权限和信任关系、为用户授予 PassRole 权限。

  2. 用户在 Flink 中添加引用 RAM 角色，Flink 平台校验用户是否有权"传递"这个角色，以及这个角色是否信任 Flink 对其进行扮演。

• 运行阶段：

  1. 服务扮演角色：Flink 服务（stream.aliyuncs.com）作为真正的扮演者，向 STS 发起 AssumeRole 请求。

  2. STS 授权与服务执行：STS 在确认 Flink 是角色 A 所信任的服务后，向其颁发临时凭证。Flink 服务使用此凭证访问 OSS，完成用户委托的任务。