功能優(yōu)勢(shì)

• 安全便捷的實(shí)例內(nèi)API調(diào)用方案：當(dāng)您的項(xiàng)目部署在阿里云ECS上時(shí)，無(wú)需在代碼中配置AccessKey，即可利用ECS提供的能力獲取臨時(shí)身份憑證（STS Token）以調(diào)用API，從而降低AccessKey泄漏的風(fēng)險(xiǎn)。

• 簡(jiǎn)化RAM身份切換流程：如果您使用的是傳統(tǒng)的AccessKey方案，當(dāng)需要更換調(diào)用服務(wù)的RAM身份時(shí)，需對(duì)配置或者代碼進(jìn)行修改并重啟服務(wù)。而采用實(shí)例RAM角色后，僅需調(diào)整授予ECS實(shí)例的RAM角色即可實(shí)現(xiàn)身份切換，無(wú)需進(jìn)行其他任何更改。

• 精細(xì)化管理權(quán)限：可以為不同的ECS實(shí)例分配具有特定授權(quán)策略的RAM角色，從而實(shí)現(xiàn)根據(jù)業(yè)務(wù)需求進(jìn)行精細(xì)化的訪問(wèn)控制。

使用限制

為ECS實(shí)例授予RAM角色時(shí)存在以下限制：

• ECS實(shí)例的網(wǎng)絡(luò)類型必須是專有網(wǎng)絡(luò)VPC。

• 一臺(tái)ECS實(shí)例只能被授予一個(gè)RAM角色。

創(chuàng)建RAM角色并授予給ECS實(shí)例

獲取實(shí)例RAM角色的臨時(shí)身份憑證

您可以在ECS實(shí)例內(nèi)部通過(guò)訪問(wèn)元數(shù)據(jù)服務(wù)（Meta Data Service）獲取到臨時(shí)訪問(wèn)憑證，同時(shí)會(huì)確保臨時(shí)訪問(wèn)憑證的有效性。更多關(guān)于元數(shù)據(jù)的介紹，請(qǐng)參見(jiàn)實(shí)例元數(shù)據(jù)。

使用實(shí)例RAM角色調(diào)用API

下文以部署在Linux ECS實(shí)例上的Python應(yīng)用程序調(diào)用OSS下載文件接口為例，為您介紹ECS實(shí)例RAM角色的使用方法。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # 訪問(wèn)憑證類型。固定為ecs_ram_role。
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # 初始化 OSS Bucket 對(duì)象
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # 下載圖片到本地
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # 定義全局變量
    role_name = 'role_name'  # 需替換為實(shí)例RAM角色名稱
    bucket_name = 'bucket_name'  # 需替換為Bucket名稱
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint，如果使用內(nèi)網(wǎng)endpoint，需要確保ecs與oss處于同一個(gè)地域。
    object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整存儲(chǔ)路徑（不包含Bucket名稱）
    local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上存儲(chǔ)的根路徑，并定義圖片名稱
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

其他操作

收回/更改ECS的實(shí)例RAM角色

相關(guān)文檔

• 當(dāng)您的自建應(yīng)用部署在阿里云ECS服務(wù)器上，且需要訪問(wèn)KMS應(yīng)用時(shí)，可以使用ECS實(shí)例RAM角色訪問(wèn)KMS。具體操作，請(qǐng)參見(jiàn)使用ECS實(shí)例RAM角色安全訪問(wèn)KMS。

• 當(dāng)ECS不需要某些資源訪問(wèn)權(quán)限時(shí)，可以通過(guò)移除實(shí)例RAM角色的權(quán)限來(lái)實(shí)現(xiàn)。具體操作，請(qǐng)參見(jiàn)為RAM角色移除權(quán)限。

• 訪問(wèn)阿里云OpenAPI時(shí)，如果在代碼中硬編碼明文AK，容易因代碼倉(cāng)庫(kù)權(quán)限管理不當(dāng)造成AK泄露，建議您通過(guò)非AccessKey硬編碼的方式編程，使用訪問(wèn)憑證訪問(wèn)阿里云OpenAPI，可參見(jiàn)使用訪問(wèn)憑據(jù)訪問(wèn)阿里云OpenAPI最佳實(shí)踐和憑據(jù)的安全使用方案。