DSW/DLC/EAS 挂载跨主账号 OSS

一、创建 RAM 角色并授权

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": ["pai.aliyuncs.com"]
      }
    }
  ],
  "Version": "1"
}

{
  "Statement": [
    {
      "Action": [
        "sts:AssumeRole"
      ],
      "Effect": "Allow",
      "Principal": {
        "Service": "<B-账号UID>@pai.aliyuncs.com"
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "oss:GetObject",
        "oss:ListObjects",
        "oss:PutObject",
        "oss:DeleteObject"
      ],
      "Resource": [
        "acs:oss:*:<A-账号UID>:<bucket名称>",
        "acs:oss:*:<A-账号UID>:<bucket名称>/*"
      ]
    }
  ]
}

二、创建 DSW 实例并挂载 OSS

1. 授权（仅适用 RAM 用户）

   如果使用 RAM 用户（阿里云子账号）创建 DSW 实例，请让阿里云主账号为其授权。RAM 用户默认没有将角色交给云服务扮演的权限。

   具体操作请参见管理RAM用户的权限。自定义权限策略示例如下：

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "ram:PassRole",
         "Resource": "acs:ram::<角色所属的主账号id>:role/<角色名称>"
       }
     ]
   }

   其中，<角色所属的主账号id>、<角色名称> 替换为刚创建的 RAM 角色名称和所属主账号 ID。

2. 创建 DSW 实例并挂载 OSS

   方式一：通过 PAI 控制台（推荐）

   1. 登录PAI控制台，在左侧导航栏，选择模型开发与训练 > 交互式建模（DSW）。

      如有多个工作空间，请选择目标工作空间。

   2. 单击新建实例，在环境信息区域的存储挂载选择 OSS。

   3. 选择 OSS 挂载，填入 A 的 Bucket 路径：

      • Uri：填入 A 的 Bucket 路径，格式为 oss://{bucket-name}.oss-{region}-internal.aliyuncs.com/{path}/。

      • 挂载路径：如 /mnt/data。

      • RAM 角色：选择已被 A 授权的角色。该角色决定 DSW 以谁的权限访问 A 的 OSS。

        若下拉列表无选项，请手动输入 ARN。

   方式二：通过 API / CLI 创建

   调用 CreateInstance API，在 Datasets 参数中指定 RoleArn：

   aliyun pai-dsw create-instance \
     --region cn-hangzhou \
     --workspace-id {B的工作空间ID} \
     --instance-name cross-account-oss-demo \
     --ecs-spec ecs.gn6v-c8g1.2xlarge \
     --image-url registry.cn-hangzhou.aliyuncs.com/pai-dlc/pytorch-training:2.0-gpu-py310-cu118-ubuntu20.04 \
     --accessibility PRIVATE \
     --datasets '[{
       "Uri": "oss://{A的Bucket名称}.oss-cn-hangzhou-internal.aliyuncs.com/data/",
       "MountPath": "/mnt/data",
       "MountAccess": "RO",
       "RoleArn": "<有OSS访问权限的RAM角色>" 
     }]'
   

   关键参数说明：

   参数	说明
   Uri	账号 A 的 OSS Bucket 路径。使用 内网域名（oss-{region}-internal.aliyuncs.com），内网传输免流量费。
   MountPath	容器内挂载路径，如 /mnt/data。
   MountAccess	RO = 只读，RW = 读写。
   RoleArn	DSW 服务要扮演的角色 ARN。 方案一：账号 B 下的 RAM 角色 ARN，如acs:ram::<B的阿里云UID>:role/<角色名称> 方案二：账号 A 下的 RAM 角色 ARN，如acs:ram::<A的阿里云UID>:role/<角色名称>

三、验证

DSW 实例启动后，进入 Terminal，检查挂载是否成功：

ls /mnt/data

如果能看到 A 账号 OSS Bucket 中的文件，跨账号挂载成功。