在使用Function Compute提供的日誌、VPC、非同步呼叫目標服務等功能時,Function Compute需要訪問其他的雲端服務。例如配置函數日誌時,使用者需要授權Function Compute對指定日誌的Logstore的寫入許可權,才能夠將函數日誌寫入Logstore。Function Compute支援服務關聯角色,使用者授權後,建立的函數預設將使用服務關聯角色,函數不需要配置角色即可使用日誌、VPC、非同步呼叫目標服務等功能。而使用者代碼邏輯如果需要訪問其他雲端服務,或需要更細粒度的授權,可以選擇使用函數角色來授權。
功能原理
Function Compute根據函數配置的角色,通過AssumeRole擷取一個臨時密鑰(STS Token)。然後通過上下文中的參數Credentials或credentials將臨時密鑰傳遞給您的函數。此臨時密鑰包含了您所配置的許可權的所有資源,您可以在函數代碼中使用其訪問其他阿里雲服務。
臨時密鑰的有效期間為36小時,且不支援修改。函數的最大執行時間為24小時,因此,執行函數過程中,臨時密鑰不會到期。
不同的運行時,參數Credentials或credentials的位置不同,您可以點擊以下連結訪問對應的文檔。需要強調的是,當您使用Custom Runtime或Custom Container的時候,臨時密鑰會被注入HTTP請求的Header中。
樣本:授予Function Compute訪問OSS的許可權
本文以授予Function Compute訪問Object Storage Service系統管理權限為例進行介紹。如果需要指定函數具有管理Object Storage Service服務的許可權,可以為該函數綁定一個角色,然後為此角色授予管理Object Storage Service的許可權。
前提條件
操作步驟
登入Function Compute控制台,在左側導覽列,單擊函數。
在頂部功能表列,選擇地區,然後在函數頁面,單擊目標函數操作列的配置。
在函數詳情頁面,選擇配置頁簽,然後在左側導覽列選擇許可權,單擊編輯,在編輯許可權面板,單擊建立角色跳轉至RAM控制台,根據介面提示建立角色並為角色授予要求的權限。
您也可以使用已有的角色,如果許可權不足,單擊編輯策略根據需要添加權限原則。具體操作,請參見為RAM角色授權。
在RAM控制台的角色頁面,單擊建立角色。
在選擇類型頁簽,選擇可信實體類型為阿里雲服務,然後單擊下一步。
在配置角色頁簽,選擇普通服務角色,設定角色名稱(本文樣本為
mytestrole
),選擇受信服務為Function Compute,然後單擊完成。在建立完成頁簽,單擊為角色授權,然後單擊目標角色右側操作列的新增授權。
在授權頁面,選擇授權範圍,授權主體預設為選擇的目標角色,選擇所需系統策略或自訂策略,單擊添加到右側已挑選清單,然後單擊確定。更多資訊,請參見權限原則及樣本。
整個雲帳號:許可權在當前阿里雲帳號內生效。
指定資源群組:許可權在指定的資源群組內生效。指定資源群組授權生效的前提是該雲端服務已支援資源群組。更多資訊,請參見支援資源群組的雲端服務。
本文樣本為管理Object Storage Service,因此,您需要為建立角色增加系統策略AliyunOSSFullAccess。
為目標函數綁定上一步建立的新角色
mytestrole
。測試已綁定角色
mytestrole
的函數是否有管理OSS的許可權。在函數列表,單擊目標函數,然後選擇代碼頁簽,單擊測試函數右側的下拉式清單,選擇配置測試參數配置,測試參數樣本如下。
{ "endpoint": "http://oss-cn-hangzhou.aliyuncs.com", "bucket": "web****", "objectName": "myObj", "message": "your-message" }
上述樣本中,
bucket
需替換為與函數相同的地區下您已建立的bucket名稱。在代碼頁簽的代碼編輯器中,編寫代碼,然後單擊部署代碼。
以Python標準運行時為例,您可以使用Function Compute為您提供的臨時密鑰訪問Object Storage Service。
import json import oss2 def handler(event, context): evt = json.loads(event) creds = context.credentials # 輸入使用者臨時密鑰,包括臨時Token。 # 阿里雲帳號AccessKey擁有所有API的存取權限,建議您使用RAM使用者進行API訪問或日常營運。 # 建議不要把AccessKey ID和AccessKey Secret儲存到工程代碼裡,否則可能導致AccessKey泄露,威脅您帳號下所有資源的安全。 # 本樣本以從上下文中擷取AccessKey/AccessSecretKey為例。 auth = oss2.StsAuth(creds.access_key_id, creds.access_key_secret, creds.security_token) bucket = oss2.Bucket(auth, evt['endpoint'], evt['bucket']) bucket.put_object(evt['objectName'], evt['message']) return 'success'
單擊測試函數,執行成功後,登入Object Storage Service控制台,找到目標Bucket,您可以看到目標對象內容已替換為測試參數中
message
的內容。
相關文檔
Function Compute3.0支援使用服務關聯角色最小化授權,關於服務關聯角色的權限原則內容,請參見AliyunServiceRoleForFC。
關於如何為目標函數配置角色,請參見建立函數。