功能優(yōu)勢(shì)

基于實(shí)例RAM角色獲取臨時(shí)訪問憑證驗(yàn)證身份信息和訪問權(quán)限控制，有以下優(yōu)勢(shì)：

• 增強(qiáng)通信安全性：使用STS臨時(shí)憑證代替長(zhǎng)期AccessKey，降低憑證泄漏的風(fēng)險(xiǎn)。

• 跨服務(wù)訪問并精細(xì)化管理權(quán)限：通過(guò)為不同ECS實(shí)例賦予具有特定授權(quán)策略的RAM角色，確保實(shí)例僅能訪問其所需的資源，實(shí)現(xiàn)權(quán)限最小化。

• 簡(jiǎn)化權(quán)限維護(hù)：無(wú)需直接在ECS實(shí)例上管理憑據(jù)，權(quán)限的調(diào)整僅需通過(guò)修改RAM角色的授權(quán)策略來(lái)實(shí)現(xiàn)，快捷地維護(hù)ECS實(shí)例擁有的訪問權(quán)限。

使用限制

為ECS實(shí)例授予實(shí)例RAM角色存在以下限制：

• ECS實(shí)例的網(wǎng)絡(luò)類型必須是專有網(wǎng)絡(luò)VPC。

• 一臺(tái)ECS實(shí)例只能授予一個(gè)實(shí)例RAM角色。

創(chuàng)建ECS實(shí)例RAM角色并授予給ECS

創(chuàng)建一個(gè)RAM角色，并為該角色授予所需的阿里云服務(wù)訪問權(quán)限。例如，如果ECS實(shí)例需要訪問OSS，就要給角色賦予OSS的讀寫權(quán)限。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:[ECS RAM Action]",
                "ecs:CreateInstance",
                "ecs:AttachInstanceRamRole",
                "ecs:DetachInstanceRAMRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "*"
        }
    ]
}

通過(guò)ECS實(shí)例RAM角色獲取臨時(shí)訪問憑證

獲取到臨時(shí)訪問憑證后，應(yīng)用程序即可使用這些臨時(shí)憑證安全地調(diào)用阿里云API，進(jìn)行跨服務(wù)訪問或數(shù)據(jù)操作。該臨時(shí)授權(quán)訪問憑證會(huì)自動(dòng)周期性地更新。

收回/更改ECS的實(shí)例RAM角色

應(yīng)用示例：通過(guò)ECS實(shí)例RAM角色訪問其他云服務(wù)

下文以部署在Linux ECS實(shí)例上的Python應(yīng)用程序訪問OSS下載圖片為例，為您介紹如何通過(guò)ECS及部署在ECS實(shí)例上的應(yīng)用如何通過(guò)實(shí)例RAM角色訪問其他云資源。

1. 準(zhǔn)備工作。

   1. 創(chuàng)建ECS實(shí)例RAM角色，授予所需資源的訪問權(quán)限（本文示例AliyunOSSReadOnlyAccess），并將該實(shí)例RAM角色授予ECS實(shí)例。

      具體操作，可參見創(chuàng)建ECS實(shí)例RAM角色并授予給ECS。

   2. 在ECS實(shí)例所在的地域創(chuàng)建OSS存儲(chǔ)空間（Bucket），并記錄Bucket名稱和EndPoint，可在Bucket概覽頁(yè)獲取。具體操作，請(qǐng)參見創(chuàng)建存儲(chǔ)空間。

      重要

      若需通過(guò)外網(wǎng)訪問OSS，請(qǐng)確保ECS實(shí)例已開通公網(wǎng)。您可以通過(guò)更改帶寬或綁定EIP方式開通IPv4公網(wǎng)。具體操作，請(qǐng)參見修改固定公網(wǎng)帶寬或綁定EIP。

      

      

   3. 上傳圖片到OSS存儲(chǔ)空間（Bucket）。具體操作，請(qǐng)參見上傳圖片到OSS。

2. 遠(yuǎn)程連接ECS實(shí)例，安裝OSS Python SDK和alibabacloud_credentials。

   說(shuō)明

   本步驟以Alibaba Cloud Linux 3 ECS實(shí)例為例，Alibaba Cloud Linux 3默認(rèn)安裝的是Python 3，如果您使用其他Linux操作系統(tǒng)需要根據(jù)Python版本適當(dāng)調(diào)整命令。如果您使用的是Windows ECS實(shí)例，請(qǐng)參見安裝OSS Python SDK。

   1. 升級(jí)pip和setuptools、wheel工具。

      sudo pip3 install --upgrade pip setuptools wheel

   2. 安裝credentials工具。

      sudo pip3 install alibabacloud_credentials  

   3. 安裝OSS SDK依賴的python-devel包。

      sudo yum install python3-devel 

   4. 安裝OSS Python SDK。

      sudo pip3 install oss2 

3. 使用實(shí)例RAM角色作為臨時(shí)憑證訪問OSS，并下載圖片。

   Python示例代碼如下（部分信息需參考注釋，按實(shí)際情況替換）：

   import oss2
   from alibabacloud_credentials.client import Client
   from alibabacloud_credentials.models import Config
   from oss2 import CredentialsProvider
   from oss2.credentials import Credentials
   
   class CredentialProviderWarpper(CredentialsProvider):
       def __init__(self, client):
           self.client = client
   
       def get_credentials(self):
           access_key_id = self.client.get_access_key_id()
           access_key_secret = self.client.get_access_key_secret()
           security_token = self.client.get_security_token()
           return Credentials(access_key_id, access_key_secret, security_token)
   
   def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
       config = Config(
           type='ecs_ram_role',      # 訪問憑證類型。固定為ecs_ram_role。
           role_name=role_name
       )
       cred = Client(config)
       credentials_provider = CredentialProviderWarpper(cred)
       auth = oss2.ProviderAuth(credentials_provider)
   
       # 初始化 OSS Bucket 對(duì)象
       bucket = oss2.Bucket(auth, endpoint, bucket_name)
       # 下載圖片到本地
       bucket.get_object_to_file(object_key, local_file)
       print("Image downloaded successfully")
   
   if __name__ == "__main__":  
   
       # 定義全局變量
       role_name = 'role_name'  # 需替換為實(shí)例RAM角色名稱
       bucket_name = 'bucket_name'  # 需替換為Bucket名稱
       endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint
       object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整存儲(chǔ)路徑（不包含Bucket名稱）
       local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上存儲(chǔ)的根路徑，并定義圖片名稱
       download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

相關(guān)文檔

• 當(dāng)您的自建應(yīng)用部署在阿里云ECS服務(wù)器上，且需要訪問KMS應(yīng)用時(shí)，可以使用ECS實(shí)例RAM角色訪問KMS。具體操作，請(qǐng)參見使用ECS實(shí)例RAM角色安全訪問KMS。

• 當(dāng)ECS不需要某些資源訪問權(quán)限時(shí)，可以通過(guò)移除實(shí)例RAM角色的權(quán)限來(lái)實(shí)現(xiàn)。具體操作，請(qǐng)參見為RAM角色移除權(quán)限。

• 訪問阿里云OpenAPI時(shí)，如果在代碼中硬編碼明文AK，容易因代碼倉(cāng)庫(kù)權(quán)限管理不當(dāng)造成AK泄露，建議您通過(guò)非AccessKey硬編碼的方式編程，使用訪問憑證訪問阿里云OpenAPI，可參見使用訪問憑據(jù)訪問阿里云OpenAPI最佳實(shí)踐和憑據(jù)的安全使用方案。