功能優勢

基于實例RAM角色獲取臨時訪問憑證驗證身份信息和訪問權限控制，有以下優勢：

• 增強通信安全性：使用STS臨時憑證代替長期AccessKey，降低憑證泄漏的風險。

• 跨服務訪問并精細化管理權限：通過為不同ECS實例賦予具有特定授權策略的RAM角色，確保實例僅能訪問其所需的資源，實現權限最小化。

• 簡化權限維護：無需直接在ECS實例上管理憑據，權限的調整僅需通過修改RAM角色的授權策略來實現，快捷地維護ECS實例擁有的訪問權限。

使用限制

為ECS實例授予實例RAM角色存在以下限制：

• ECS實例的網絡類型必須是專有網絡VPC。

• 一臺ECS實例只能授予一個實例RAM角色。

創建ECS實例RAM角色并授予給ECS

創建一個RAM角色，并為該角色授予所需的阿里云服務訪問權限。例如，如果ECS實例需要訪問OSS，就要給角色賦予OSS的讀寫權限。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:[ECS RAM Action]",
                "ecs:CreateInstance",
                "ecs:AttachInstanceRamRole",
                "ecs:DetachInstanceRAMRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "*"
        }
    ]
}

通過ECS實例RAM角色獲取臨時訪問憑證

獲取到臨時訪問憑證后，應用程序即可使用這些臨時憑證安全地調用阿里云API，進行跨服務訪問或數據操作。該臨時授權訪問憑證會自動周期性地更新。

收回/更改ECS的實例RAM角色

應用示例：通過ECS實例RAM角色訪問其他云服務

下文以部署在Linux ECS實例上的Python應用程序訪問OSS下載圖片為例，為您介紹如何通過ECS及部署在ECS實例上的應用如何通過實例RAM角色訪問其他云資源。

1. 準備工作。

   1. 創建ECS實例RAM角色，授予所需資源的訪問權限（本文示例AliyunOSSReadOnlyAccess），并將該實例RAM角色授予ECS實例。

      具體操作，可參見創建ECS實例RAM角色并授予給ECS。

   2. 在ECS實例所在的地域創建OSS存儲空間（Bucket），并記錄Bucket名稱和EndPoint，可在Bucket概覽頁獲取。具體操作，請參見創建存儲空間。

      重要

      若需通過外網訪問OSS，請確保ECS實例已開通公網。您可以通過更改帶寬或綁定EIP方式開通IPv4公網。具體操作，請參見修改固定公網帶寬或綁定EIP。

      

      

   3. 上傳圖片到OSS存儲空間（Bucket）。具體操作，請參見上傳圖片到OSS。

2. 遠程連接ECS實例，安裝OSS Python SDK和alibabacloud_credentials。

   說明

   本步驟以Alibaba Cloud Linux 3 ECS實例為例，Alibaba Cloud Linux 3默認安裝的是Python 3，如果您使用其他Linux操作系統需要根據Python版本適當調整命令。如果您使用的是Windows ECS實例，請參見安裝OSS Python SDK。

   1. 升級pip和setuptools、wheel工具。

      sudo pip3 install --upgrade pip setuptools wheel

   2. 安裝credentials工具。

      sudo pip3 install alibabacloud_credentials  

   3. 安裝OSS SDK依賴的python-devel包。

      sudo yum install python3-devel 

   4. 安裝OSS Python SDK。

      sudo pip3 install oss2 

3. 使用實例RAM角色作為臨時憑證訪問OSS，并下載圖片。

   Python示例代碼如下（部分信息需參考注釋，按實際情況替換）：

   import oss2
   from alibabacloud_credentials.client import Client
   from alibabacloud_credentials.models import Config
   from oss2 import CredentialsProvider
   from oss2.credentials import Credentials
   
   class CredentialProviderWarpper(CredentialsProvider):
       def __init__(self, client):
           self.client = client
   
       def get_credentials(self):
           access_key_id = self.client.get_access_key_id()
           access_key_secret = self.client.get_access_key_secret()
           security_token = self.client.get_security_token()
           return Credentials(access_key_id, access_key_secret, security_token)
   
   def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
       config = Config(
           type='ecs_ram_role',      # 訪問憑證類型。固定為ecs_ram_role。
           role_name=role_name
       )
       cred = Client(config)
       credentials_provider = CredentialProviderWarpper(cred)
       auth = oss2.ProviderAuth(credentials_provider)
   
       # 初始化 OSS Bucket 對象
       bucket = oss2.Bucket(auth, endpoint, bucket_name)
       # 下載圖片到本地
       bucket.get_object_to_file(object_key, local_file)
       print("Image downloaded successfully")
   
   if __name__ == "__main__":  
   
       # 定義全局變量
       role_name = 'role_name'  # 需替換為實例RAM角色名稱
       bucket_name = 'bucket_name'  # 需替換為Bucket名稱
       endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint
       object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整存儲路徑（不包含Bucket名稱）
       local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上存儲的根路徑，并定義圖片名稱
       download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

相關文檔

• 當您的自建應用部署在阿里云ECS服務器上，且需要訪問KMS應用時，可以使用ECS實例RAM角色訪問KMS。具體操作，請參見使用ECS實例RAM角色安全訪問KMS。

• 當ECS不需要某些資源訪問權限時，可以通過移除實例RAM角色的權限來實現。具體操作，請參見為RAM角色移除權限。

• 訪問阿里云OpenAPI時，如果在代碼中硬編碼明文AK，容易因代碼倉庫權限管理不當造成AK泄露，建議您通過非AccessKey硬編碼的方式編程，使用訪問憑證訪問阿里云OpenAPI，可參見使用訪問憑據訪問阿里云OpenAPI最佳實踐和憑據的安全使用方案。