Elastic Compute Service：執行個體RAM角色

功能優勢

• 安全便捷的執行個體內API調用方案：當您的專案部署在阿里雲ECS上時，無需在代碼中配置AccessKey，即可利用ECS提供的能力擷取臨時身份憑證（STS Token）以調用API，從而降低AccessKey泄漏的風險。

• 簡化RAM身份切換流程：如果您使用的是傳統的AccessKey方案，當需要更換調用服務的RAM身份時，需對配置或者代碼進行修改並重啟服務。而採用執行個體RAM角色後，僅需調整授予ECS執行個體的RAM角色即可實現身份切換，無需進行其他任何更改。

• 精細化系統管理權限：可以為不同的ECS執行個體分配具有特定授權策略的RAM角色，從而實現根據業務需求進行精細化的存取控制。

使用限制

為ECS執行個體授予RAM角色時存在以下限制：

• ECS執行個體的網路類型必須是Virtual Private Cloud。

• 一台ECS執行個體只能被授予一個RAM角色。

建立RAM角色並授予給ECS執行個體

擷取執行個體RAM角色的臨時身份憑證

您可以在ECS執行個體內部通過訪問中繼資料服務（Meta Data Service）擷取到臨時訪問憑證，同時會確保臨時訪問憑證的有效性。更多關於中繼資料的介紹，請參見執行個體中繼資料。

使用執行個體RAM角色調用API

下文以部署在Linux ECS執行個體上的Python應用程式調用OSS下載檔案介面為例，為您介紹ECS執行個體RAM角色的使用方法。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # 訪問憑證類型。固定為ecs_ram_role。
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # 初始化 OSS Bucket 對象
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # 下載圖片到本地
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # 定義全域變數
    role_name = 'role_name'  # 需替換為執行個體RAM角色名稱
    bucket_name = 'bucket_name'  # 需替換為Bucket名稱
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint，如果使用內網endpoint，需要確保ecs與oss處於同一個地區。
    object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整儲存路徑（不包含Bucket名稱）
    local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上儲存的根路徑，並定義圖片名稱
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

其他動作

收回/更改ECS的執行個體RAM角色

相關文檔

• 當您的自建應用部署在阿里雲ECS伺服器上，且需要訪問KMS應用時，可以使用ECS執行個體RAM角色訪問KMS。具體操作，請參見使用ECS執行個體RAM角色安全訪問KMS。

• 當ECS不需要某些資源存取權限時，可以通過移除執行個體RAM角色的許可權來實現。具體操作，請參見為RAM角色移除許可權。

• 訪問阿里雲OpenAPI時，如果在代碼中寫入程式碼明文AK，容易因代碼倉庫許可權管理不當造成AK泄露，建議您通過非AccessKey硬式編碼方式編程，使用訪問憑證訪問阿里雲OpenAPI，可參見使用訪問憑據訪問阿里雲OpenAPI最佳實務和憑據的安全使用方式情節。