借助于实例 RAM 角色访问其他云产品

概述

以往部署在 ECS 实例中的应用程序如果需要访问阿里云其他云产品，您通常需要借助 AccessKeyID 和 AccessKeySecret（下文简称 AK）来实现。AK 是您访问阿里云 API 的密钥，具有相应账号的完整权限。为了方便应用程序对 AK 的管理，您通常需要将 AK 保存在应用程序的配置文件中或以其他方式保存在 ECS 实例中，这在一定程度上增加了 AK 管理的复杂性，并且降低了 AK 的保密性。甚至，如果您需要实现多地域一致性部署，AK 会随着镜像以及使用镜像创建的实例扩散出去。这种情况下，当您需要更换 AK 时，您就需要逐台更新和重新部署实例和镜像。

现在借助于 ECS 实例 RAM 角色，您可以将 RAM 角色 和 ECS 实例关联起来，实例内部的应用程序可以通过 STS 临时凭证访问其他云产品。其中 STS 临时凭证由系统自动生成和更新，应用程序可以使用指定的 实例元数据 URL 获取 STS 临时凭证，无需特别管理。同时借助于 RAM，通过对角色和授权策略的管理，您可以达到不同实例对不同云产品或相同云产品具有各自访问权限的目的。

本文以部署在 ECS 实例上的 Python 访问 OSS 为例，详细介绍了如何借助 ECS 实例 RAM 角色，使实例内部的应用程序可以使用 STS 临时凭证访问其他云产品。

说明：为了方便您随本文样例快速入门，文档里所有操作均在 OpenAPI Explorer 完成。OpenAPI Explorer 通过已登录用户信息获取当前账号临时 AK，对当前账号发起线上资源操作，请谨慎操作。创建实例操作会产生费用。操作完成后请及时释放实例。

操作步骤

为了使 ECS 借助实例 RAM 角色，实现内部 Python 可以使用 STS 临时凭证访问 OSS，您需要完成以下步骤：

步骤 1. 创建 RAM 角色并配置授权策略
步骤 2. 指定 RAM 角色创建并设置 ECS 实例
步骤 3. 在实例内部访问实例元数据 URL 获取 STS 临时凭证
步骤 4. 基于临时凭证，使用 Python SDK 访问 OSS

步骤 1. 创建 RAM 角色并配置授权策略

按以下步骤创建 RAM 角色并配置授权策略。

1. 创建 RAM 角色。找到 OpenAPI Explorer RAM 产品下 CreateRole API。其中：

   • RoleName：设置角色的名称。根据自己的需要填写，本示例中为 EcsRamRoleTest。
   • AssumeRolePolicyDocument： 填写如下内容，表示该角色为一个服务角色，受信云服务（本示例中为 ECS）可以扮演该角色。
     1. {
     2. "Statement": [
     3. {
     4. "Action": "sts:AssumeRole",
     5. "Effect": "Allow",
     6. "Principal": {
     7. "Service": [
     8. "ecs.aliyuncs.com"
     9. ]
     10. }
     11. }
     12. ],
     13. "Version": "1"
     14. }
     

2. 创建授权策略。找到 OpenAPI Explorer RAM 产品下的 CreatePolicy API。其中：

   • PolicyName：设置授权策略的名称。本示例中为 EcsRamRolePolicyTest。
   • PolicyDocument：输入授权策略内容。本示例中填写如下内容，表示该角色具有 OSS 只读权限。
     1. {
     2. "Statement": [
     3. {
     4. "Action": [
     5. "oss:Get*",
     6. "oss:List*"
     7. ],
     8. "Effect": "Allow",
     9. "Resource": "*"
     10. }
     11. ],
     12. "Version": "1"
     13. }
     

3. 为角色附加授权。找到 OpenAPI Explorer RAM 产品下 AttachPolicyToRole API。其中：

   • PolicyType：填写 Custom。
   • PolicyName：填写第 2 步创建的策略名称，如本示例中的 EcsRamRolePolicyTest。
   • RoleName：填写第 1 步创建的角色名称，如本示例中的 EcsRamRoleTest。
     

步骤 2. 为 ECS 实例指定 RAM 角色

您可以通过以下任一种方式为 ECS 实例指定 RAM 角色：

• 将实例 RAM 角色附加到一个已有的 VPC 类型ECS实例上
• 指定 RAM 角色创建并设置 ECS 实例

将实例 RAM 角色附加到一个已有的 VPC 类型ECS实例上

您可以使用 ECS 的 AttachInstanceRamRole API 附加实例 RAM 角色到已有的 VPC 类型 ECS 实例授权访问，设置信息如下：

• RegionId：为实例所在的地域 ID。
• RamRoleName：RAM 角色的名称。本示例中为 EcsRamRoleTest。
• InstanceIds：需要附加实例 RAM 角色的 VPC 类型 ECS 实例 ID。本示例中为 [“i-bXXXXXXXX”