Platform For AI:RAMロールをDLCジョブに関連付ける

メリット

信頼できるエンティティがAlibaba CloudサービスであるRAMロールを使用できます。 Alibaba Cloudサービスは、RAMロールを引き受けて、クロスサービスアクセスを実装できます。 RAMロールを使用してID認証とアクセス制御を実装することで、一時的なアクセス資格情報を取得できます。 この方法には次の利点があります。

• セキュリティと機密性: DLCジョブで資格情報を管理する必要はありません。 AccessKeyペアの代わりにSTSが提供する一時的なアクセス資格情報を使用して、AccessKeyペアのリークのリスクを減らすことができます。

• 便利な管理: DLCジョブに関連付けられているRAMロールに添付されているポリシーを変更して、DLCジョブ内のAlibaba Cloudサービスの各開発者のアクセス許可をより便利できめ細かい方法で管理できます。

制限事項

DLCジョブは、1つのRAMロールにのみ関連付けることができます。

設定方法

DLCジョブの作成時にRAMロールをDLCジョブに関連付け、RAMロールを使用してSTSが提供する一時的なアクセス資格情報を取得します。

RAMロールをDLCジョブに関連付ける

DLCジョブに関連付けられたRAMロールを使用して一時的なアクセス資格情報を取得する

DLCジョブを作成するときに、DLCジョブをPAIのデフォルトロールまたはカスタムロールに関連付ける場合は、次の方法で簡単に一時的なアクセス資格情報を取得します。

# Obtain a temporary access credential for the RAM role of an instance.
curl $ALIBABA_CLOUD_CREDENTIALS_URI

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

{
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

例

例1: DLCジョブに関連付けられたRAMロールを使用したMaxComputeへのアクセス

DLCジョブを作成したら、次の主要な設定を完了します。 詳細については、「トレーニングジョブの送信」をご参照ください。

• Alibaba Cloud Credentialsツールをインストールします。

  [サードパーティライブラリ] パラメーターを [リストから選択] に設定し、次のサードパーティライブラリを入力してAlibaba Cloud CredentialsとMaxCompute SDKをインストールします。

  alibabacloud_credentials
  odps

  説明

  サードパーティのライブラリがイメージにプリインストールされている場合は、この設定をスキップできます。

• スクリプトファイルを設定します。

  この例では、Pythonスクリプトファイルが使用されます。 [Code Builds] パラメーターの [Online configuration] を選択するか、または [Local Upload] を選択してスクリプトファイルをオンプレミスマシンからDLC環境にアップロードします。

  alibabacloud_credentialsインポートプロバイダーからの

  from alibabacloud_credentials import providers
  from odps.accounts import CredentialProviderAccount
  from odps import ODPS
  
  if __name__ == '__main__':
      account = CredentialProviderAccount(providers.DefaultCredentialsProvider())
      o = ODPS(
          account=account,
          project="{odps_project}",  # Replace {odps_project} with the name of your project.
          endpoint="{odps_endpoint}"  # Replace {odps_endpoint} with the endpoint of the region where your project resides.
      )
  
      for t in o.list_tables():
          print(t)
  

例2: DLCジョブに関連付けられたRAMロールを使用したOSSへのアクセス

DLCジョブを作成したら、次の主要な設定を完了します。 詳細については、「トレーニングジョブの送信」をご参照ください。

• Alibaba Cloud Credentialsツールをインストールします。

  [サードパーティライブラリ] パラメーターを [リストから選択] に設定し、次のサードパーティライブラリを入力してAlibaba Cloud CredentialsとOSS SDKをインストールします。

  alibabacloud_credentials
  oss2

  説明

  サードパーティのライブラリがイメージにプリインストールされている場合は、この設定をスキップできます。

• スクリプトファイルを設定します。

  この例では、Pythonスクリプトファイルが使用されます。 [Code Builds] パラメーターの [Online configuration] を選択するか、または [Local Upload] を選択してスクリプトファイルをオンプレミスマシンからDLC環境にアップロードします。

  import oss2
  from alibabacloud_credentials.client import Client
  from alibabacloud_credentials import providers
  from itertools import islice
  
  auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider())
  bucket = oss2.Bucket(auth,
                       '{oss_endpoint}',  # Replace {oss_endpoint} with the endpoint of the region where your OSS bucket resides.
                       '{oss_bucket}'  # Replace {oss_bucket} with the name of your OSS bucket.
           )
  for b in islice(oss2.ObjectIterator(bucket), 10):
      print(b.key)
  

よくある質問

ジョブの作成中にカスタムロールをDLCジョブに関連付けるときにエラーが発生した場合はどうすればよいですか?

• エラーメッセージは、[ramロールのアクセス許可の確認に失敗しました] または [サブユーザーのアクセス許可の確認に失敗しました] です。

  この問題を解決するには、RAMコンソールにログインして、RAMロールが存在するかどうかを確認します。

  • RAMロールが存在しない場合は、RAMロールを既存のロールに変更します。

  • RAMロールが存在する場合は、Alibaba Cloudアカウントの所有者に連絡して、現在のRAMユーザーにRAMロールを使用する権限を付与します。 詳細については、「RAM ユーザーへの権限の付与」をご参照ください。 次のサンプルコードは、ポリシードキュメントを示しています。 ${RoleName} をRAMロールの名前に置き換える必要があります。

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}"
        }
      ]
    }

• エラーメッセージはFailed to assume role for userです。

  ほとんどの場合、このエラーは、RAMロールに信頼ポリシーが設定されていないために発生します。 RAMロールの信頼ポリシーを設定するには、次の手順を実行します。

  1. RAM コンソールにログインします。

  2. 左側のナビゲーションウィンドウで、[アイデンティティ] > [ロール] を選択します。

  3. [ロール] ページでRAMロールを見つけ、RAMロールの名前をクリックします。

  4. RAMロールの詳細ページで、[信頼ポリシー] をクリックします。 [信頼ポリシー] タブで、[信頼ポリシーの編集] をクリックします。 信頼ポリシーエディターで、ポリシードキュメントを変更します。

     次のサンプルコードは、RAMロールの元のポリシードキュメントを示しています。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     次のサンプルコードは、RAMロールの新しいポリシードキュメントを示しています。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com",
               "pai.aliyuncs.com" 
             ]
           }
         }
       ],
       "Version": "1"
     }

  5. [信頼ポリシードキュメントの保存] をクリックします。