Platform For AI：配置DLC RAM角色

功能優勢

RAM角色是一種可信實體為阿里雲服務的RAM角色，即允許雲端服務扮演的角色，用於解決“跨服務訪問”的問題。基於RAM角色擷取臨時訪問憑證來驗證身份資訊和存取權限控制，具有以下優勢：

• 安全保密：無需在任務內管理認證，使用STS臨時訪問憑證替代長期AccessKey，減少密鑰泄露風險。

• 便捷可控：通過修改DLC任務的RAM角色的權限原則，可更便捷、更精細地控制各開發人員在任務內訪問雲資源時的許可權。

使用限制

目前，一個DLC任務只能關聯一個RAM角色。

配置方法

在建立DLC任務時，您需要為DLC配置RAM角色，並擷取STS臨時訪問憑證。

為DLC配置RAM角色

基於DLC關聯的RAM角色擷取臨時訪問憑證

在建立DLC任務時，若為任務分配了PAI預設角色或自訂角色，您可以通過以下方式便捷地擷取臨時訪問憑證：

# 擷取執行個體RAM角色的臨時授權訪問憑證
curl $ALIBABA_CLOUD_CREDENTIALS_URI

{
	"Code": "Success",
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

{
	"AccessKeyId": "STS.N*********7",
	"AccessKeySecret": "3***************d",
	"SecurityToken": "DFE32G*******"
	"Expiration": "2024-05-21T10:39:29Z"
}

使用樣本

樣本一：基於DLC的RAM角色訪問ODPS

在建立DLC任務時，完成以下關鍵配置，更多配置說明，請參見建立訓練任務。

• 安裝阿里雲Credentials工具。

  在三方庫配置參數中，配置以下三方庫列表，來安裝阿里雲Credentials工具和ODPS SDK。

  alibabacloud_credentials
  odps

  說明

  如果鏡像中已預裝此庫，該配置步驟可省略。

• 配置指令檔。

  以Python為例，指令碼內容樣本如下。您可以通過代碼配置或掛載配置，將指令檔上傳至DLC環境中。

  from alibabacloud_credentials import providers
  from odps.accounts import CredentialProviderAccount
  from odps import ODPS
  
  if __name__ == '__main__':
      account = CredentialProviderAccount(providers.DefaultCredentialsProvider())
      o = ODPS(
          account=account,
          project="{odps_project}",  # 需替換為您的Project名稱
          endpoint="{odps_endpoint}"  # 需替換為您的Project所在region的Endpoint
      )
  
      for t in o.list_tables():
          print(t)
  

樣本二：基於DLC的RAM角色訪問OSS

在建立DLC任務時，完成以下關鍵配置，更多配置說明，請參見建立訓練任務。

• 安裝阿里雲Credentials工具。

  在三方庫配置參數中，配置以下三方庫列表，來安裝阿里雲Credentials工具和OSS SDK。

  alibabacloud_credentials
  oss2

  說明

  如果鏡像中已預裝此庫，該配置步驟可省略。

• 配置指令檔。

  以Python為例，指令碼內容樣本如下。您可以通過代碼配置或掛載配置，將指令檔上傳至DLC環境中。

  import oss2
  from alibabacloud_credentials.client import Client
  from alibabacloud_credentials import providers
  from itertools import islice
  
  auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider())
  bucket = oss2.Bucket(auth,
                       '{oss_endpoint}',  # 需替換為您的oss bucket所在region的endpoint
                       '{oss_bucket}'  # 需替換為您的oss bucket名稱
           )
  for b in islice(oss2.ObjectIterator(bucket), 10):
      print(b.key)
  

常見問題

建立DLC任務時選擇自訂角色報錯，應如何解決？

• 報錯資訊為check permission for ram role failed或check permission for sub user failed。

  您可以登入RAM控制台，確認該角色是否存在。

  • 若角色不存在，您需將執行個體RAM角色修改為已存在的角色。

  • 若角色存在，您需聯絡主帳號，為您的子帳號授予使用該角色的許可權，詳情請參見為RAM使用者授權。自訂權限原則如下（需將${RoleName}替換為RAM角色的名稱）：

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}"
        }
      ]
    }

• 報錯資訊為Failed to assume role for user。

  該問題一般是由於您的角色未配置信任策略。您可以按照以下操作步驟為您的角色添加信任策略：

  1. 登入RAM控制台。

  2. 在左側導覽列，選擇身份管理>角色。

  3. 在角色頁面，單擊目標RAM角色名稱。

  4. 在信任策略頁簽，單擊編輯信任策略，並在文本編輯框中配置以下內容：

     假設該角色原始的信任策略為：

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     則新的策略內容修改如下：

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com",
               "pai.aliyuncs.com" 
             ]
           }
         }
       ],
       "Version": "1"
     }

  5. 單擊儲存信任策略。