使用函數角色授予函數訪問其他雲端服務的許可權 - Function Compute

在使用Function Compute提供的日誌、VPC、非同步呼叫目標服務等功能時，Function Compute需要訪問其他的雲端服務。例如配置函數日誌時，使用者需要授權Function Compute對指定日誌的Logstore的寫入許可權，才能夠將函數日誌寫入Logstore。Function Compute支援服務關聯角色，使用者授權後，建立的函數預設將使用服務關聯角色，函數不需要配置角色即可使用日誌、VPC、非同步呼叫目標服務等功能。而使用者代碼邏輯如果需要訪問其他雲端服務，或需要更細粒度的授權，可以選擇使用函數角色來授權。

功能原理

Function Compute根據函數配置的角色，通過AssumeRole擷取一個臨時密鑰（STS Token）。然後通過上下文中的參數Credentials或credentials將臨時密鑰傳遞給您的函數。此臨時密鑰包含了您所配置的許可權的所有資源，您可以在函數代碼中使用其訪問其他阿里雲服務。

臨時密鑰的有效期間為36小時，且不支援修改。函數的最大執行時間為24小時，因此，執行函數過程中，臨時密鑰不會到期。

不同的運行時，參數Credentials或credentials的位置不同，您可以點擊以下連結訪問對應的文檔。需要強調的是，當您使用自訂運行時或自訂鏡像運行環境的時候，臨時密鑰會被注入HTTP請求的Header中。

樣本：授予Function Compute訪問OSS的許可權

本文以授予Function Compute訪問Object Storage Service系統管理權限為例進行介紹。如果需要指定函數具有管理Object Storage Service服務的許可權，可以為該函數綁定一個角色，然後為此角色授予管理Object Storage Service的許可權。

前提條件

建立函數

操作步驟

登入Function Compute控制台，在左側導覽列，單擊函數。
在頂部功能表列，選擇地區，然後在函數頁面，單擊目標函數操作列的配置。
在函數詳情頁面，選擇配置頁簽，然後在左側導覽列選擇許可權，單擊編輯，在編輯許可權面板，單擊建立角色跳轉至RAM控制台，根據介面提示建立角色並為角色授予要求的權限。
您也可以使用已有的角色，如果許可權不足，單擊編輯策略根據需要添加權限原則。具體操作，請參見為RAM角色授權。
1. 在RAM控制台的角色頁面，單擊建立角色。
2. 在選擇類型頁簽，選擇可信實體類型為阿里雲服務，然後單擊下一步。
3. 在配置角色頁簽，選擇普通服務角色，設定角色名稱（本文樣本為mytestrole），選擇受信服務為Function Compute，然後單擊完成。
4. 在建立完成頁簽，單擊為角色授權，然後單擊目標角色右側操作列的新增授權。
5. 在授權頁面，選擇資源範圍，授權主體預設為選擇的目標角色，選擇所需系統策略或自訂策略，單擊添加到右側已挑選清單，然後單擊確定。更多資訊，請參見權限原則及樣本。
  - 帳號層級：許可權在當前阿里雲帳號內生效。
  - 資源群組層級：許可權在指定的資源群組內生效。指定資源群組授權生效的前提是該雲端服務已支援資源群組。更多資訊，請參見支援資源群組的雲端服務。
  本文樣本為管理Object Storage Service，因此，您需要為建立角色增加系統策略AliyunOSSFullAccess。
為目標函數綁定上一步建立的新角色mytestrole。
測試已綁定角色mytestrole的函數是否有管理OSS的許可權。
1. 在函數列表，單擊目標函數，然後選擇代碼頁簽，單擊測試函數右側的下拉式清單，選擇配置測試參數配置，測試參數樣本如下。
```
{
   "endpoint": "http://oss-cn-hangzhou.aliyuncs.com",
   "bucket": "web****",
   "objectName": "myObj",
   "message": "your-message"
}
```
  上述樣本中，bucket需替換為與函數相同的地區下您已建立的bucket名稱。
2. 在代碼頁簽的代碼編輯器中，編寫代碼，然後單擊部署代碼。
  以Python內建運行時為例，您可以使用Function Compute為您提供的臨時密鑰訪問Object Storage Service。
```
import json
import oss2

def handler(event, context):
    evt = json.loads(event)
    creds = context.credentials
    # 輸入使用者臨時密鑰，包括臨時Token。
    # 阿里雲帳號AccessKey擁有所有API的存取權限，建議您使用RAM使用者進行API訪問或日常營運。
    # 建議不要把AccessKey ID和AccessKey Secret儲存到工程代碼裡，否則可能導致AccessKey泄露，威脅您帳號下所有資源的安全。
    # 本樣本以從上下文中擷取AccessKey/AccessSecretKey為例。
    auth = oss2.StsAuth(creds.access_key_id, creds.access_key_secret, creds.security_token)
    bucket = oss2.Bucket(auth, evt['endpoint'], evt['bucket'])
    bucket.put_object(evt['objectName'], evt['message'])
    return 'success'
```
3. 單擊測試函數，執行成功後，登入Object Storage Service控制台，找到目標Bucket，您可以看到目標對象內容已替換為測試參數中message的內容。
相關文檔
- Function Compute3.0支援使用服務關聯角色最小化授權，關於服務關聯角色的權限原則內容，請參見AliyunServiceRoleForFC。
- 關於如何為目標函數配置角色，請參見建立函數。

功能原理

樣本：授予Function Compute訪問OSS的許可權

前提條件

操作步驟

相關文檔