Elastic Compute Service：通過ECS執行個體RAM角色授權ECS訪問其他雲資源

功能優勢

基於執行個體RAM角色擷取臨時訪問憑證驗證身份資訊和存取權限控制，有以下優勢：

• 增強通訊安全性：使用STS臨時憑證代替長期AccessKey，降低憑證泄漏的風險。

• 跨服務訪問並精細化系統管理權限：通過為不同ECS執行個體賦予具有特定授權策略的RAM角色，確保執行個體僅能訪問其所需的資源，實現許可權最小化。

• 簡化許可權維護：無需直接在ECS執行個體上管理憑證，許可權的調整僅需通過修改RAM角色的授權策略來實現，快捷地維護ECS執行個體擁有的存取權限。

使用限制

為ECS執行個體授予執行個體RAM角色存在以下限制：

• ECS執行個體的網路類型必須是Virtual Private Cloud。

• 一台ECS執行個體只能授予一個執行個體RAM角色。

建立執行個體RAM角色並授予給ECS

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs: [ECS RAM Action]",
                "ecs: CreateInstance",
                "ecs: AttachInstanceRamRole",
                "ecs: DetachInstanceRAMRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "*"
        }
    ]
}

基於執行個體RAM角色擷取臨時訪問憑證

sudo pip install alibabacloud_credentials

from alibabacloud_credentials.client import Client as CredClient
from alibabacloud_credentials.models import Config as CredConfig

credentialsConfigig = CredConfig(
	type='ecs_ram_role',
	# 選填，該ECS角色的角色名稱，不填會自動擷取，但是建議加上以減少請求次數
	role_name='<RoleName>'
)
credentialsClient = CredClient(CredConfig)

import com.aliyun.credentials.Client;
import com.aliyun.credentials.models.Config;

public class DemoTest {
    public static void main(String[] args) throws Exception {
        Config credentialConfig = new Config();
        credentialConfig.setType("ecs_ram_role");
        // 選填，該ECS角色的角色名稱，不填會自動擷取，但是建議加上以減少請求次數
        credentialConfig.setRoleName("<RoleName>");
        Client credentialClient = new Client(credentialConfig);
    }
}

收回/更改ECS的執行個體RAM角色

應用樣本：使用執行個體RAM角色訪問其他雲資源

下文以部署在Linux ECS執行個體上的Python應用程式訪問OSS下載圖片為例，為您介紹如何通過ECS及部署 ECS執行個體上的應用如何通過執行個體RAM角色訪問其他雲資源。

1. 準備工作。

   1. 已建立ECS執行個體RAM角色，授予所需資源的存取權限（本文樣本AliyunOSSReadOnlyAccess），並將該執行個體RAM角色授予給ECS執行個體。

      具體操作，可參見建立執行個體RAM角色並授予給ECS。

   2. ECS執行個體所在的地區已建立了OSS儲存空間（Bucket），並記錄Bucket名稱和EndPoint，可在Bucket概覽頁擷取。具體操作，請參見建立儲存空間。

      重要

      若需通過外網訪問OSS，請確保ECS執行個體已開通公網。您可以通過更改頻寬或綁定EIP方式開通IPv4公網。具體操作，請參見修改固定公網頻寬或綁定EIP。

      

      

   3. 已上傳圖片到OSS儲存空間（Bucket）。具體操作，請參見上傳圖片到OSS。

2. 遠端連線ECS執行個體，安裝OSS Python SDK和alibabacloud_credentials。

   說明

   • 本步驟以Alibaba Cloud Linux 3 ECS執行個體為例，Alibaba Cloud Linux 3預設安裝的是Python 3，如果您使用其他Linux作業系統需要根據Python版本，命令需要適當調整。如果您使用的是Windows ECS執行個體，請參見安裝OSS Python SDK。

   • 您登入的Linux使用者需要有sudo命令許可權。

   1. 升級pip和setuptools、wheel工具。

      sudo pip3 install --upgrade pip setuptools wheel

   2. 安裝credentials工具。

      sudo pip3 install alibabacloud_credentials  

   3. 安裝OSS SDK依賴的python-devel包。

      sudo yum install python3-devel 

   4. 安裝OSS Python SDK。

      sudo pip3 install oss2 

3. 使用執行個體RAM角色作為臨時憑證訪問OSS，並下載圖片。

   1. Python範例程式碼如下（部分資訊需參考注釋，按實際情況替換）：

      import oss2
      from alibabacloud_credentials.client import Client
      from alibabacloud_credentials.models import Config
      from oss2 import CredentialsProvider
      from oss2.credentials import Credentials
      
      class CredentialProviderWarpper(CredentialsProvider):
          def __init__(self, client):
              self.client = client
      
          def get_credentials(self):
              access_key_id = self.client.get_access_key_id()
              access_key_secret = self.client.get_access_key_secret()
              security_token = self.client.get_security_token()
              return Credentials(access_key_id, access_key_secret, security_token)
      
      def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
          config = Config(
              type='ecs_ram_role',      # 訪問憑證類型。固定為ecs_ram_role。
              role_name=role_name
          )
          cred = Client(config)
          credentials_provider = CredentialProviderWarpper(cred)
          auth = oss2.ProviderAuth(credentials_provider)
      
          # 初始化 OSS Bucket 對象
          bucket = oss2.Bucket(auth, endpoint, bucket_name)
          # 下載圖片到本地
          bucket.get_object_to_file(object_key, local_file)
          print("Image downloaded successfully")
      
      if __name__ == "__main__":  
      
          # 定義全域變數
          role_name = 'role_name'  # 需替換為執行個體RAM角色名稱
          bucket_name = 'bucket_name'  # 需替換為Bucket名稱
          endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint
          object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整儲存路徑（不包含Bucket名稱）
          local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上儲存的根路徑，並定義圖片名稱
          download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

   2. 運行Python代碼。

      python3 /localpath/to/demo.py  #需替換為python代碼的根路徑

      運行成功，則輸出。

      

   3. 驗證圖片是否下載成功。

       cd  /localpath/to/            #需替換為圖片在ECS上儲存的上級路徑
       ls

      當目錄中存在檔案image.png，則成功下載。

      

相關文檔

• 當您的自建應用部署在阿里雲ECS伺服器上，且需要訪問KMS應用時，可以使用ECS執行個體RAM角色訪問KMS。具體操作，請參見使用ECS執行個體RAM角色安全訪問KMS。

• 當ECS不需要某些資源存取權限時，可以通過移除執行個體RAM角色的許可權，將這些許可權移除。具體操作，請參見為RAM角色移除許可權。

• 訪問阿里雲OpenAPI時，如果在代碼中寫入程式碼明文AK，容易因代碼倉庫許可權管理不當造成AK泄露，建議您通過非AccessKey硬式編碼方式編程，使用訪問憑證訪問阿里雲OpenAPI，可參見使用訪問憑證訪問阿里雲OpenAPI最佳實務和憑據的安全使用方式情節。