人工智能平台 PAI：云产品依赖与授权：LangStudio

为阿里云账号（主账号）授权LangStudio通用权限

首次开通LangStudio时，您需要为当前阿里云账号授权LangStudio通用权限，以确保LangStudio正常提供服务。具体操作步骤如下：

1. 登录PAI控制台，在右侧选择目标工作空间后，单击进入LangStudio。

2. 进行云资源访问授权。

   1. 单击去授权。

   2. 在云资源访问授权页面，单击同意授权。

      在云资源访问授权页面，系统自动配置LangStudio需要的关联角色，无需手动配置。

3. 授权AliyunServiceRoleForPaiLLMTrace、AliyunServiceRoleForPaiLangStudio和AliyunServiceRoleForPaiEas角色。

   在LangStudio页面，单击立即授权，大约等待3分钟，即可完成授权。

参考1：如何修改LangStudio服务角色的授权策略

如果您需要对云资源访问授权进行更精细的管控，可以在RAM控制台对已授权的AliyunPAILangStudioDefaultRole角色进行自定义权限策略。

下面以修改OSS的授权策略为例，说明如何对LangStudio默认服务角色进行更精细化的授权，具体操作步骤如下。

1. 查看AliyunPAILangStudioDefaultRole默认权限策略。

   1. 登录RAM控制台，并在左侧导航栏选择身份管理 > 角色。

   2. 在角色页面的搜索框中，输入AliyunPAILangStudioDefaultRole进行搜索，并单击目标角色名称。

   3. 在权限管理页面单击权限策略名称，查看并拷贝默认策略内容。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "eas:CreateService",
                      "eas:ListServices",
                      "eas:DescribeService",
                      "eas:DeleteService",
                      "eas:UpdateService",
                      "eas:StartService",
                      "eas:StopService"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              },
              {
                  "Action": [
                      "oss:GetObject",
                      "oss:PutObject",
                      "oss:DeleteObject",
                      "oss:ListObjects"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              },
              {
                  "Action": [
                      "paillmtrace:GetXtraceToken"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

2. 通过脚本编辑模式创建自定义权限策略，其中：

   • 权限策略内容可根据上述拷贝的默认策略内容进行修改。例如修改OSS授权策略内容，为通过Condition指定可访问的OSS Bucket，示例内容如下：

     说明

     在实际使用时，请移除所有的注释内容。

     {
         "Version": "1", 
         "Statement": [
             //其他授权策略，不要修改
     
             //修改OSS授权策略，通过指定Tag限定授权访问的OSS资源
             {
                 "Action": [
                     "oss:GetObject", 
                     "oss:PutObject", 
                     "oss:DeleteObject", 
                     "oss:ListObjects"
                 ], 
                 "Resource": "*", 
                 "Effect": "Allow", 
                 "Condition": {
                     "StringEquals": {
                         "oss:BucketTag/Product": "PaiLangStudio"
                     }
                 }
             }
         ]
     }

   • 名称配置为CustomAliyunPAILangStudioDefaultRolePolicy。

3. 将新创建的自定义权限策略CustomAliyunPAILangStudioDefaultRolePolicy添加到AliyunPAILangStudioDefaultRole角色，并解除该角色默认的授权策略AliyunPAILangStudioDefaultRolePolicy。具体操作，请参见为RAM角色授权和为RAM角色移除权限。

   更新成功后，LangStudio则会按照新增的授权策略访问您的资源。

参考2：检查账号是否关联AliyunPAILangStudioDefaultRole角色

您可以按照以下操作步骤，来确认当前阿里云账号是否拥有AliyunPAILangStudioDefaultRole这一角色。

1. 登录RAM控制台，在左侧导航栏，单击身份管理>角色。

2. 在角色页面的搜索框中，输入AliyunPAILangStudioDefaultRole，进行搜索。

   • 如果搜索到了该角色，则表示已经授权了LangStudio服务角色。

   • 如果没有搜索到该角色，则需进行授权操作。具体操作，请参见为阿里云账号（主账号）授权LangStudio通用权限。