通过ECS实例RAM角色授权ECS访问其他云资源

功能优势

基于实例RAM角色获取临时访问凭证验证身份信息和访问权限控制，有以下优势：

• 增强通信安全性：使用STS临时凭证代替长期AccessKey，降低凭证泄漏的风险。

• 跨服务访问并精细化管理权限：通过为不同ECS实例赋予具有特定授权策略的RAM角色，确保实例仅能访问其所需的资源，实现权限最小化。

• 简化权限维护：无需直接在ECS实例上管理凭据，权限的调整仅需通过修改RAM角色的授权策略来实现，快捷地维护ECS实例拥有的访问权限。

使用限制

为ECS实例授予实例RAM角色存在以下限制：

• ECS实例的网络类型必须是专有网络VPC。

• 一台ECS实例只能授予一个实例RAM角色。

创建ECS实例RAM角色并授予给ECS

创建一个RAM角色，并为该角色授予所需的阿里云服务访问权限。例如，如果ECS实例需要访问OSS，就要给角色赋予OSS的读写权限。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecs:[ECS RAM Action]",
                "ecs:CreateInstance",
                "ecs:AttachInstanceRamRole",
                "ecs:DetachInstanceRAMRole"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ram:PassRole",
            "Resource": "*"
        }
    ]
}

通过ECS实例RAM角色获取临时访问凭证

获取到临时访问凭证后，应用程序即可使用这些临时凭证安全地调用阿里云API，进行跨服务访问或数据操作。该临时授权访问凭证会自动周期性地更新。

收回/更改ECS的实例RAM角色

应用示例：通过ECS实例RAM角色访问其他云服务

下文以部署在Linux ECS实例上的Python应用程序访问OSS下载图片为例，为您介绍如何通过ECS及部署在ECS实例上的应用如何通过实例RAM角色访问其他云资源。

1. 准备工作。

   1. 创建ECS实例RAM角色，授予所需资源的访问权限（本文示例AliyunOSSReadOnlyAccess），并将该实例RAM角色授予ECS实例。

      具体操作，可参见创建ECS实例RAM角色并授予给ECS。

   2. 在ECS实例所在的地域创建OSS存储空间（Bucket），并记录Bucket名称和EndPoint，可在Bucket概览页获取。具体操作，请参见创建存储空间。

      重要

      若需通过外网访问OSS，请确保ECS实例已开通公网。您可以通过更改带宽或绑定EIP方式开通IPv4公网。具体操作，请参见修改固定公网带宽或绑定EIP。

      

      

   3. 上传图片到OSS存储空间（Bucket）。具体操作，请参见上传图片到OSS。

2. 远程连接ECS实例，安装OSS Python SDK和alibabacloud_credentials。

   说明

   本步骤以Alibaba Cloud Linux 3 ECS实例为例，Alibaba Cloud Linux 3默认安装的是Python 3，如果您使用其他Linux操作系统需要根据Python版本适当调整命令。如果您使用的是Windows ECS实例，请参见安装OSS Python SDK。

   1. 升级pip和setuptools、wheel工具。

      sudo pip3 install --upgrade pip setuptools wheel

   2. 安装credentials工具。

      sudo pip3 install alibabacloud_credentials  

   3. 安装OSS SDK依赖的python-devel包。

      sudo yum install python3-devel 

   4. 安装OSS Python SDK。

      sudo pip3 install oss2 

3. 使用实例RAM角色作为临时凭证访问OSS，并下载图片。

   Python示例代码如下（部分信息需参考注释，按实际情况替换）：

   import oss2
   from alibabacloud_credentials.client import Client
   from alibabacloud_credentials.models import Config
   from oss2 import CredentialsProvider
   from oss2.credentials import Credentials
   
   class CredentialProviderWarpper(CredentialsProvider):
       def __init__(self, client):
           self.client = client
   
       def get_credentials(self):
           access_key_id = self.client.get_access_key_id()
           access_key_secret = self.client.get_access_key_secret()
           security_token = self.client.get_security_token()
           return Credentials(access_key_id, access_key_secret, security_token)
   
   def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
       config = Config(
           type='ecs_ram_role',      # 访问凭证类型。固定为ecs_ram_role。
           role_name=role_name
       )
       cred = Client(config)
       credentials_provider = CredentialProviderWarpper(cred)
       auth = oss2.ProviderAuth(credentials_provider)
   
       # 初始化 OSS Bucket 对象
       bucket = oss2.Bucket(auth, endpoint, bucket_name)
       # 下载图片到本地
       bucket.get_object_to_file(object_key, local_file)
       print("Image downloaded successfully")
   
   if __name__ == "__main__":  
   
       # 定义全局变量
       role_name = 'role_name'  # 需替换为实例RAM角色名称
       bucket_name = 'bucket_name'  # 需替换为Bucket名称
       endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替换为OSS Bucket的Endpoint
       object_key = 'testfolder/example.png'  # 需替换为你要下载的图片在OSS中的完整存储路径（不包含Bucket名称）
       local_file = '/localpath/to/image.png'  # 需替换为图片需要在ECS上存储的根路径，并定义图片名称
       download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

相关文档

• 当您的自建应用部署在阿里云ECS服务器上，且需要访问KMS应用时，可以使用ECS实例RAM角色访问KMS。具体操作，请参见使用ECS实例RAM角色安全访问KMS。

• 当ECS不需要某些资源访问权限时，可以通过移除实例RAM角色的权限来实现。具体操作，请参见为RAM角色移除权限。

• 访问阿里云OpenAPI时，如果在代码中硬编码明文AK，容易因代码仓库权限管理不当造成AK泄露，建议您通过非AccessKey硬编码的方式编程，使用访问凭证访问阿里云OpenAPI，可参见使用访问凭据访问阿里云OpenAPI最佳实践和凭据的安全使用方案。