将RDS AI助手页面嵌入自建Web应用

1. 创建后端专用RAM用户

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 用户。

3. 在用户页面，单击创建用户。

4. 在创建用户页面，配置用户名称等基本信息，在访问配置区域，选中使用永久AccessKey访问，便于后端服务通过RAM用户的AccessKeyId和AccessKeySecret调用STS。

5. 在创建结果页面，查看并保存RAM用户的AccessKeyId和AccessKeySecret。具体操作请参见创建AccessKey。

2. 为RAM用户授权AssumeRole

后端专用RAM用户需要具备扮演目标RAM角色的权限，您需要创建一个自定义权限策略并授权给该RAM用户。

1. 在左侧导航栏，选择权限管理 > 权限策略。

2. 在权限策略页面，单击创建权限策略。

3. 在创建权限策略页面，选择脚本编辑页签，输入以下JSON策略内容：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "acs:ram::<account_id>:role/<ram_role_name>"
    }
  ]
}

替换规则：

• <account_id>：阿里云主账号ID。

• <ram_role_name>：后续创建的RAM角色名称，例如rdscopilot-console。

创建完成后，将该策略授权给后端专用RAM用户：

4. 在权限策略列表中，单击刚创建的策略名称。

5. 在策略详情页面，单击授权管理页签，然后单击新增授权。

6. 在新增授权面板，资源范围选择账号级别。

7. 在授权主体区域，勾选上一步创建的后端专用RAM用户。

8. 单击确认新增授权。具体操作请参见管理RAM用户的权限。

1. 创建可信实体为阿里云账号的RAM角色

在RAM控制台创建RAM角色，操作步骤如下：

1. 在左侧导航栏，选择身份管理 > 角色。

2. 在角色页面，单击创建角色。

3. 在创建角色页面，按下表选择关键配置，输入角色名称，单击确定。具体操作请参见创建可信实体为阿里云服务的RAM角色。

2. 配置RAM角色信任策略

推荐将RAM角色信任策略收敛到上一步创建的后端专用RAM用户，操作步骤如下：

1. 在角色列表中，单击刚创建的RAM角色名称。

2. 在角色详情页面，单击信任策略页签，然后单击编辑信任策略。

3. 选择脚本编辑页签，将策略内容修改为以下示例：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "RAM": "acs:ram::<account_id>:user/<ram_user_name>"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

替换规则：

• <account_id>：RAM用户所在阿里云主账号ID。

• <ram_user_name>：上一步创建的RAM用户名称。

检查信任策略时，请重点确认以下内容：

如果AssumeRole报AccessDenied，请优先检查以下两项：

1. RAM用户是否有sts:AssumeRole到目标RoleArn的权限。

2. RAM角色信任策略是否允许该RAM用户扮演。

3. 为RAM角色授权RDS和RDS AI助手权限

为创建的RAM角色授予访问RDS和RDS AI助手的权限，操作步骤如下：

1. 在角色详情页面，单击权限管理页签，然后单击新增授权。

2. 在新增授权面板，资源范围选择账号级别。

3. 在权限策略区域，搜索并勾选目标权限策略，单击确认新增授权。具体操作请参见管理RAM角色的权限。根据业务需求，选择添加以下权限策略：

• RDS基础权限：

  • AliyunRDSFullAccess：RDS的完整管理权限。

  • AliyunRDSReadOnlyAccess：RDS的只读访问权限。

• RDS AI助手权限：

  • AliyunRDSAIFullAccess：RDS AI助手的完整管理权限。

  • AliyunRDSCopilotReadOnlyAccess：RDS AI助手的只读访问权限。

4. 获取RAM角色ARN

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色。

3. 在角色页面，单击目标RAM角色名称。

4. 在RAM角色详情页面的基本信息区域，复制ARN信息。

格式示例：

acs:ram::13427***:role/rdscopilot-console

该ARN需要和RAM用户的sts:AssumeRole授权策略中的Resource保持一致。

获取临时AccessKey和Token

在您的Web应用后端服务中，使用步骤一中RAM用户的AccessKey，调用STS的AssumeRole接口，获取用于访问云服务的临时身份凭证。

以下为Python SDK示例代码：

import json
from aliyunsdkcore.client import AcsClient
from aliyunsdksts.request.v20150401.AssumeRoleRequest import AssumeRoleRequest

# 配置信息
ACCOUNT_ID = os.environ.get("ALIYUN_ACCOUNT_ID")
ACCESS_KEY_ID = os.environ.get("ALIYUN_ACCESS_KEY_ID")
ACCESS_KEY_SECRET = os.environ.get("ALIYUN_ACCESS_KEY_SECRET")
RAM_ROLE = os.environ.get("ALIYUN_RAM_ROLE", "rdscopilot-console")
REGION_ID = "cn-hangzhou"

def assume_role():
    """通过 STS 获取临时凭证"""
    client = AcsClient(ACCESS_KEY_ID, ACCESS_KEY_SECRET, REGION_ID)
    request = AssumeRoleRequest()
    request.set_RoleArn(f"acs:ram::{ACCOUNT_ID}:role/{RAM_ROLE}")
    request.set_RoleSessionName("rds-ai-assistant-session")
    request.set_DurationSeconds(3600)  # Token有效期1小时
    
    response = client.do_action_with_exception(request)
    return json.loads(response)["Credentials"]

返回示例：

{
  "AccessKeyId": "STS.xxx",
  "AccessKeySecret": "xxx",
  "SecurityToken": "CAISxxx...",
  "Expiration": "2026-01-22T10:00:00Z"
}

获取登录Token

通过上一步STS的AssumeRole接口获取临时AccessKey和Token后，调用登录服务接口获取登录Token。

请求登录服务接口示例：

https://signin.aliyun.com/federation?Action=GetSigninToken
&AccessKeyId=<STS返回的临时AccessKeyId>
&AccessKeySecret=<STS返回的临时AccessKeySecret>
&SecurityToken=<STS返回的安全Token>
&TicketType=mini

Python示例代码：

import requests
from urllib.parse import quote

SIGN_IN_DOMAIN = "https://signin.aliyun.com/federation"

def get_signin_token(access_key_id, access_key_secret, security_token):
    """使用临时凭证获取登录 Token"""
    params = {
        "Action": "GetSigninToken",
        "AccessKeyId": access_key_id,
        "AccessKeySecret": access_key_secret,
        "SecurityToken": security_token,
        "TicketType": "mini"
    }
    resp = requests.get(SIGN_IN_DOMAIN, params=params)
    if resp.status_code == 200:
        return resp.json().get("SigninToken")
    else:
        raise Exception(f"Failed to get SigninToken: {resp.status_code}, {resp.text}")

返回示例：

{
  "SigninToken": "xxx-xxx-xxx"
}

生成免登录链接

使用上一步获取的SigninToken和目标RDS AI助手页面的URL，构造最终的免登录链接。

1. 获取RDS AI助手控制台页面URL。

   地域	域名
   中国站	rdsnext4service.console.aliyun.com

   URL示例：

   https://rdsnext4service.console.aliyun.com/rdsCopilotFree/cn-hangzhou?hideTopbar=true&copilotReference

2. 构造免登录访问链接。

   请求格式：

   https://signin.aliyun.com/federation?Action=Login
   &LoginUrl=<登录失效跳转的地址>
   &SigninToken=<获取到的登录SigninToken>
   &Destination=<目标RDS AI助手控制台页面链接>

   Python示例代码：

   import requests
   
   def get_login_url(signin_token, destination_url):
       """构造最终的登录跳转 URL"""
       params = {
           "Action": "Login",
           "LoginUrl": "https://signin.aliyun.com/login.htm",
           "Destination": destination_url,
           "SigninToken": signin_token
       }
       # 使用 requests 构造完整的 URL
       req = requests.Request('GET', SIGN_IN_DOMAIN, params=params).prepare()
       return req.url

3. 访问免登录链接。
   将生成的最终URL返回给前端。前端可以在<iframe>的src属性中加载此URL，或通过新标签页打开，即可实现免登录访问RDS AI助手。