云服务器 ECS：实例RAM角色

功能优势

• 安全便捷的实例内API调用方案：当您的项目部署在阿里云ECS上时，无需在代码中配置AccessKey，即可利用ECS提供的能力获取临时身份凭证（STS Token）以调用API，从而降低AccessKey泄漏的风险。

• 简化RAM身份切换流程：如果您使用的是传统的AccessKey方案，当需要更换调用服务的RAM身份时，需对配置或者代码进行修改并重启服务。而采用实例RAM角色后，仅需调整授予ECS实例的RAM角色即可实现身份切换，无需进行其他任何更改。

• 精细化管理权限：可以为不同的ECS实例分配具有特定授权策略的RAM角色，从而实现根据业务需求进行精细化的访问控制。

使用限制

为ECS实例授予RAM角色时存在以下限制：

• ECS实例的网络类型必须是专有网络VPC。

• 一台ECS实例只能被授予一个RAM角色。

创建RAM角色并授予给ECS实例

获取实例RAM角色的临时身份凭证

您可以在ECS实例内部通过访问元数据服务（Meta Data Service）获取到临时访问凭证，同时会确保临时访问凭证的有效性。更多关于元数据的介绍，请参见实例元数据。

使用实例RAM角色调用API

下文以部署在Linux ECS实例上的Python应用程序调用OSS下载文件接口为例，为您介绍ECS实例RAM角色的使用方法。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # 访问凭证类型。固定为ecs_ram_role。
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # 初始化 OSS Bucket 对象
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # 下载图片到本地
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # 定义全局变量
    role_name = 'role_name'  # 需替换为实例RAM角色名称
    bucket_name = 'bucket_name'  # 需替换为Bucket名称
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替换为OSS Bucket的Endpoint，如果使用内网endpoint，需要确保ecs与oss处于同一个地域。
    object_key = 'testfolder/example.png'  # 需替换为你要下载的图片在OSS中的完整存储路径（不包含Bucket名称）
    local_file = '/localpath/to/image.png'  # 需替换为图片需要在ECS上存储的根路径，并定义图片名称
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

其他操作

收回/更改ECS的实例RAM角色

相关文档

• 当您的自建应用部署在阿里云ECS服务器上，且需要访问KMS应用时，可以使用ECS实例RAM角色访问KMS。具体操作，请参见使用ECS实例RAM角色安全访问KMS。

• 当ECS不需要某些资源访问权限时，可以通过移除实例RAM角色的权限来实现。具体操作，请参见为RAM角色移除权限。

• 访问阿里云OpenAPI时，如果在代码中硬编码明文AK，容易因代码仓库权限管理不当造成AK泄露，建议您通过非AccessKey硬编码的方式编程，使用访问凭证访问阿里云OpenAPI，可参见使用访问凭据访问阿里云OpenAPI最佳实践和凭据的安全使用方案。