Elastic Compute Service:インスタンスの RAM ロール

メリット

• ECSインスタンス内の安全で便利なAPI操作呼び出し: プロジェクトがECSインスタンスにデプロイされている場合、ECSが提供する機能を使用して、コードでAccessKeyペアを設定することなく、一時的なアクセス資格情報としてSTSトークンを取得し、API操作を呼び出すことができます。 これにより、AccessKeyペアがリークするリスクが軽減されます。

• RAM IDの切り替えの簡略化: サービスのアクセス資格情報としてRAM IDのAccessKeyペアを使用する場合、構成またはコードでAccessKeyペアを変更し、RAM IDを変更するときにサービスを再起動する必要があります。 インスタンスRAMロールを使用してサービスの一時的なアクセス資格情報としてSTSトークンを取得する場合、RAM IDを変更するときにのみインスタンスRAMロールを変更する必要があります。 追加の設定は必要ありません。

• 詳細な権限管理: 特定のポリシーを含むインスタンスRAMロールを異なるECSインスタンスにアタッチできます。 これにより、ビジネス要件に基づいてきめ細かいアクセス制御を実装できます。

制限事項

インスタンスRAMロールをECSインスタンスにアタッチする場合、次の制限事項に注意してください。

• インスタンスRAMロールをアタッチするECSインスタンスは、仮想プライベートクラウド (VPC) に存在する必要があります。

• ECSインスタンスにアタッチできるインスタンスRAMロールは1つだけです。

インスタンスRAMロールを作成し、インスタンスRAMロールをECSインスタンスにアタッチする

インスタンスRAMロールの一時的なアクセス資格情報の取得

メタデータサービスにアクセスすることで、ECSインスタンス内から一時的なアクセス資格情報を取得できます。 一時的なアクセス資格情報の有効性が保証される。 詳細については、「インスタンスメタデータの取得」をご参照ください。

インスタンスRAMロールを使用してAPI操作を呼び出す

この例では、Linux ECSインスタンスにデプロイされたPythonアプリケーションが、インスタンスにアタッチされたインスタンスRAMロールを使用してAPI操作を呼び出し、OSSバケットからファイルをダウンロードします。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # Specify the type of access credential. Set this parameter to ecs_ram_role. 
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # Initialize the OSS bucket.
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # Download the image.
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # Define global variables.
    role_name = 'role_name'  # Specify the name of the instance RAM role.
    bucket_name = 'bucket_name'  # Specify the name of the OSS bucket.
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # Specify the endpoint of the OSS bucket. If an internal endpoint is used, make sure that the ECS instance and the OSS bucket reside in the same region. 
    object_key = 'testfolder/example.png'  # Specify the path in which the image that you want to download is stored in OSS. The path does not include the bucket name.
    local_file = '/localpath/to/image.png'  # Specify a name for the image and the path in which you want to store the image on the ECS instance.
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

その他の操作

インスタンスRAMロールのデタッチまたは変更

関連ドキュメント

• 自己管理アプリケーションがECSインスタンスにデプロイされている場合、ECSインスタンスにインスタンスRAMロールをアタッチし、インスタンスRAMロールを使用してインスタンスからKey Management Service (KMS) にアクセスできます。 詳細については、「ECSインスタンスにアタッチされたインスタンスRAMロールを使用してKMSに安全にアクセスする」をご参照ください。

• ECSインスタンスが特定の権限を必要としなくなった場合、インスタンスにアタッチされているインスタンスRAMロールから権限を取り消すことができます。 詳細については、「RAMロールから権限を取り消す」をご参照ください。

• Alibaba CloudのAPI操作を呼び出すために使用するコードで平文のAccessKeyペアをハードコーディングすると、コードリポジトリの不適切な権限管理により、AccessKeyペアが漏洩する可能性があります。 Alibaba CloudのAPI操作を呼び出すには、ハードコードされたAccessKeyペアの代わりにアクセス認証情報を使用することを推奨します。 詳細については、「アクセス資格情報を使用してAPI操作を呼び出すためのベストプラクティス」および「credentialセキュリティソリューション」をご参照ください。