Platform For AI:RAMロールをDLCジョブに関連付ける

メリット

信頼できるエンティティがAlibaba CloudサービスであるRAMロールを使用できます。 Alibaba Cloudサービスは、RAMロールを引き受けて、クロスサービスアクセスを実装できます。 RAMロールを使用してID認証とアクセス制御を実装することで、一時的なアクセス資格情報を取得できます。 この方法には次の利点があります。

• セキュリティと機密性: DLCジョブで資格情報を管理する必要はありません。 AccessKeyペアの代わりにSTSが提供する一時的なアクセス資格情報を使用して、AccessKeyペアのリークのリスクを減らすことができます。

• 便利な管理: DLCジョブに関連付けられているRAMロールに添付されているポリシーを変更して、DLCジョブ内のAlibaba Cloudサービスの各開発者のアクセス許可をより便利できめ細かい方法で管理できます。

制限事項

DLCジョブは、1つのRAMロールにのみ関連付けることができます。

設定方法

DLCジョブの作成時にRAMロールをDLCジョブに関連付け、RAMロールを使用してSTSが提供する一時的なアクセス資格情報を取得します。

RAMロールをDLCジョブに関連付ける

DLCジョブに関連付けられたRAMロールを使用して一時的なアクセス資格情報を取得する

DLCジョブを作成するときに、DLCジョブをPAIのデフォルトロールまたはカスタムロールに関連付ける場合は、次の方法で簡単に一時的なアクセス資格情報を取得します。

# Obtain a temporary access credential for the RAM role of an instance.
curl $ALIBABA_CLOUD_CREDENTIALS_URI

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

{
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

例

例1: DLCジョブに関連付けられたRAMロールを使用したMaxComputeへのアクセス

DLCジョブを作成したら、次の主要な設定を完了します。 詳細については、「トレーニングジョブの送信」をご参照ください。

• Alibaba Cloud Credentialsツールをインストールします。

  [サードパーティライブラリ] パラメーターを [リストから選択] に設定し、次のサードパーティライブラリを入力してAlibaba Cloud CredentialsとMaxCompute SDKをインストールします。

  alibabacloud_credentials
  pyodps

  説明

  サードパーティのライブラリがイメージにプリインストールされている場合は、この設定をスキップできます。

• スクリプトファイルを設定します。

  この例では、Pythonスクリプトファイルが使用されます。 [Code Builds] パラメーターの [Online configuration] を選択するか、または [Local Upload] を選択してスクリプトファイルをオンプレミスマシンからDLC環境にアップロードします。 次に、/mnt/data/ などのマウントパスを設定します。

  from alibabacloud_credentials import providers
  from odps.accounts import CredentialProviderAccount
  from odps import ODPS
  
  if __name__ == '__main__':
      account = CredentialProviderAccount(providers.DefaultCredentialsProvider())
      o = ODPS(
          account=account,
          project="{odps_project}",  # Replace {odps_project} with the name of your project.
          endpoint="{odps_endpoint}"  # Replace {odps_endpoint} with the endpoint of the region where your project resides.
      )
  
      for t in o.list_tables():
          print(t)
  

• 起動コマンドの設定

  Startup Commandをスクリプトを実行するコマンドに設定します。 たとえば、python /mnt/data/xx.pyです。

• ロール情報の設定

  インスタンスRAMロールの [PAIのデフォルトロール] を選択します。

例2: DLCジョブに関連付けられたRAMロールを使用したOSSへのアクセス

DLCジョブを作成したら、次の主要な設定を完了します。 詳細については、「トレーニングジョブの送信」をご参照ください。

• Alibaba Cloud Credentialsツールをインストールします。

  [サードパーティライブラリ] パラメーターを [リストから選択] に設定し、次のサードパーティライブラリを入力してAlibaba Cloud CredentialsとOSS SDKをインストールします。

  alibabacloud_credentials
  oss2

  説明

  サードパーティのライブラリがイメージにプリインストールされている場合は、この設定をスキップできます。

• スクリプトファイルを設定します。

  この例では、Pythonスクリプトファイルが使用されます。 [Code Builds] パラメーターの [Online configuration] を選択するか、または [Local Upload] を選択してスクリプトファイルをオンプレミスマシンからDLC環境にアップロードします。 次に、/mnt/data/ などのマウントパスを設定します。

  import oss2
  from alibabacloud_credentials.client import Client
  from alibabacloud_credentials import providers
  from itertools import islice
  
  auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider())
  bucket = oss2.Bucket(auth,
                       '{oss_endpoint}',  # Replace {oss_endpoint} with the endpoint of the region where your OSS bucket resides.
                       '{oss_bucket}'  # Replace {oss_bucket} with the name of your OSS bucket.
           )
  for b in islice(oss2.ObjectIterator(bucket), 10):
      print(b.key)
  

• 起動コマンドの設定

  Startup Commandをスクリプトを実行するコマンドに設定します。 たとえば、python /mnt/data/xx.pyです。

• ロール情報の設定

  インスタンスRAMロールの [PAIのデフォルトロール] を選択します。

よくある質問

ジョブの作成中にカスタムロールをDLCジョブに関連付けるときにエラーが発生した場合はどうすればよいですか?

• エラーメッセージは、[ramロールのアクセス許可の確認に失敗しました] または [サブユーザーのアクセス許可の確認に失敗しました] です。

  この問題を解決するには、RAMコンソールにログインして、RAMロールが存在するかどうかを確認します。

  • RAMロールが存在しない場合は、RAMロールを既存のロールに変更します。

  • RAMロールが存在する場合は、Alibaba Cloudアカウントの所有者に連絡して、現在のRAMユーザーにRAMロールを使用する権限を付与します。 詳細については、「RAM ユーザーへの権限の付与」をご参照ください。 次のサンプルコードは、ポリシードキュメントを示しています。 ${RoleName} をRAMロールの名前に置き換える必要があります。

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}"
        }
      ]
    }

• エラーメッセージはFailed to assume role for userです。

  ほとんどの場合、このエラーは、RAMロールに信頼ポリシーが設定されていないために発生します。 RAMロールの信頼ポリシーを設定するには、次の手順を実行します。

  1. 管理者権限を持つRAMユーザーとしてRAMコンソールにログインします。

  2. 左側のナビゲーションウィンドウで、アイデンティティ > ロールを選択します。

  3. ロールページで、作成したRAMロールの名前をクリックします。

  4. 信頼ポリシータブで、信頼ポリシーの編集をクリックします。

  5. 信頼ポリシーの内容を変更し、信頼ポリシードキュメントの保存をクリックします。

     次のサンプルコードは、RAMロールの元のポリシードキュメントを示しています。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     次のサンプルコードは、RAMロールの新しいポリシードキュメントを示しています。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com",
               "pai.aliyuncs.com" 
             ]
           }
         }
       ],
       "Version": "1"
     }