阿里云ECS云服务器使用实例RAM角色访问其他云产品-云淘科技

操作步骤

为了使ECS借助实例RAM角色，实现内部Python可以使用STS临时凭证访问OSS，您需要完成以下步骤。

步骤一：创建RAM角色并配置授权策略

1. 创建RAM角色。

   通过调用RAM产品下的API CreateRole创建RAM角色。其中：

   • RoleName：设置RAM角色的名称。根据自己的需要填写，本示例中为EcsRamRoleTest。

   • AssumeRolePolicyDocument：表示信任策略。指定允许扮演该RAM角色的一个或多个主体，这个主体可以是阿里云账号、阿里云服务或身份提供商。填写如下内容，表示允许扮演该RAM角色的可信实体为当前阿里云账号下的云服务，以受信云服务为ECS为例。

     {
         "Statement": [
             {
                 "Action": "sts:AssumeRole", 
                 "Effect": "Allow", 
                 "Principal": {
                     "Service": [
                         "ecs.aliyuncs.com"
                     ]
                 }
             }
         ], 
         "Version": "1"
     }

2. 创建授权策略。

   通过调用RAM产品下的API CreatePolicy创建授权策略。其中：

   • PolicyName：设置授权策略的名称。本示例中为EcsRamRolePolicyTest。

   • PolicyDocument：输入授权策略内容。本示例中填写如下内容，表示该RAM角色具有OSS只读权限。

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*", 
                     "oss:List*"
                 ], 
                 "Effect": "Allow", 
                 "Resource": "*"
             }
         ], 
         "Version": "1"
     }

3. 为RAM角色添加权限。

   通过调用RAM产品下的API AttachPolicyToRole为RAM角色添加权限。其中：

   • PolicyType：填写Custom。

   • PolicyName：填写第2步创建的策略名称，如本示例中的EcsRamRolePolicyTest。

   • RoleName：填写第1步创建的角色名称，如本示例中的EcsRamRoleTest。

步骤二：指定RAM角色创建并设置ECS实例

您可以通过以下任一方式为ECS实例指定RAM角色：

• 为已创建的ECS实例授予RAM角色

  通过调用ECS产品下的API AttachInstanceRamRole为已有的VPC类型ECS实例授予RAM角色，设置信息如下：

  • RegionId：为实例所在的地域ID。

  • RamRoleName：RAM角色的名称。本示例中为EcsRamRoleTest。

  • InstanceIds：需要添加实例RAM角色的VPC类型ECS实例ID。本示例中为[“i-bXXXXXXXX”]。

• 指定RAM角色创建并设置ECS实例

  1. 创建ECS实例。

     通过调用ECS产品下的API CreateInstance创建ECS实例。其中，您需要根据实际情况填写请求参数，必须填写的参数包括：

     • RegionId：实例所在地域ID。本示例中为cn-hangzhou。

     • ImageId：实例的镜像文件ID。本示例中为centos_7_03_64_40G_alibase_20170503.vhd。

     • InstanceType：实例的资源规格。本示例中为ecs.g6.large。

     • VSwitchId：实例所在的VPC虚拟交换机。因为ECS实例RAM角色目前只支持VPC类型ECS实例，所以VSwitchId是必需的。

     • RamRoleName：RAM角色的名称。本示例中为EcsRamRoleTest。

     可选：如果您希望授权子账号创建指定RAM角色的ECS实例，那么子账号除了拥有创建ECS实例的权限之外，还需要增加PassRole权限。所以，您需要创建一个如下所示的自定义授权策略并绑定到子账号上。

     {
         "Statement": [
             {
                 "Action": "[ECS RAM Action]", 
                 "Resource": "*", 
                 "Effect": "Allow"
             }, 
             {
                 "Action": "ram:PassRole", 
                 "Resource": "*", 
                 "Effect": "Allow"
             }
         ], 
         "Version": "1"
     }

     • 如果是创建ECS实例，[ECS RAM Action]可以是ecs:CreateInstance，您也可以根据实际情况添加更多的权限。

     • 如果您需要为子账号授予所有ECS操作权限，[ECS RAM Action]应该替换为ecs:*。

     说明

     关于[ECS RAM Action]的取值，更多信息，请参见鉴权规则。

  2. 设置密码并启动实例。

     具体操作，请参见在实例内部重置登录密码和启动实例。

  3. 使用API或在控制台设置ECS实例使其可以访问公网。

     以API方式为实例分配公网IP为例，确保实例可以正常访问公网。具体操作，请参见AllocatePublicIpAddress。

步骤三：在实例内部访问实例元数据URL获取STS临时凭证

重要

STS临时凭证失效前半小时会生成新的STS临时凭证，在这半小时内，新旧STS临时凭证均可使用。

1. 远程连接ECS实例。关于连接方式的介绍，请参见连接方式概述。

2. 访问http://100.100.100.200/latest/meta-data/ram/security-credentials/EcsRamRoleTest获取STS临时凭证。

   说明

   本示例中使用curl命令访问上述URL，路径最后一部分是RAM角色名称，您应当替换为自己创建的RAM角色名称。如果您使用的是Windows ECS实例，请参见实例元数据。

   示例输出结果如下：

   [root@local ~]# curl http://100.100.100.200/latest/meta-data/ram/security-credentials/EcsRamRoleTest
   {
   "AccessKeyId" : "STS.J8XXXXXXXXXX4",
   "AccessKeySecret" : "9PjfXXXXXXXXXBf2XAW",
   "Expiration" : "2017-06-09T09:17:19Z",
   "SecurityToken" : "CAIXXXXXXXXXXXwmBkleCTkyI+",
   "LastUpdated" : "2017-06-09T03:17:18Z",
   "Code" : "Success"
   }

步骤四：基于临时凭证使用Python SDK访问OSS

本示例中，我们基于STS临时凭证使用Python SDK列举实例所在地域的某个OSS存储空间（Bucket）里的10个文件。

准备工作

• 已远程连接ECS实例。

• ECS实例已安装Python。如果您用的是Linux ECS实例，必须安装pip。

• ECS实例所在的地域已创建了存储空间（Bucket），并已获取Bucket的名称和Endpoint。

  例如，Bucket名称为ramroletest，Endpoint为oss-cn-hangzhou.aliyuncs.com。