功能優勢

• 安全便捷的實例內API調用方案：當您的項目部署在阿里云ECS上時，無需在代碼中配置AccessKey，即可利用ECS提供的能力獲取臨時身份憑證（STS Token）以調用API，從而降低AccessKey泄漏的風險。

• 簡化RAM身份切換流程：如果您使用的是傳統的AccessKey方案，當需要更換調用服務的RAM身份時，需對配置或者代碼進行修改并重啟服務。而采用實例RAM角色后，僅需調整授予ECS實例的RAM角色即可實現身份切換，無需進行其他任何更改。

• 精細化管理權限：可以為不同的ECS實例分配具有特定授權策略的RAM角色，從而實現根據業務需求進行精細化的訪問控制。

使用限制

為ECS實例授予RAM角色時存在以下限制：

• ECS實例的網絡類型必須是專有網絡VPC。

• 一臺ECS實例只能被授予一個RAM角色。

創建RAM角色并授予給ECS實例

獲取實例RAM角色的臨時身份憑證

您可以在ECS實例內部通過訪問元數據服務（Meta Data Service）獲取到臨時訪問憑證，同時會確保臨時訪問憑證的有效性。更多關于元數據的介紹，請參見實例元數據。

使用實例RAM角色調用API

下文以部署在Linux ECS實例上的Python應用程序調用OSS下載文件接口為例，為您介紹ECS實例RAM角色的使用方法。

pip install oss2  
pip install alibabacloud_credentials

import oss2
from alibabacloud_credentials.client import Client
from alibabacloud_credentials.models import Config
from oss2 import CredentialsProvider
from oss2.credentials import Credentials

class CredentialProviderWarpper(CredentialsProvider):
    def __init__(self, client):
        self.client = client

    def get_credentials(self):
        access_key_id = self.client.get_access_key_id()
        access_key_secret = self.client.get_access_key_secret()
        security_token = self.client.get_security_token()
        return Credentials(access_key_id, access_key_secret, security_token)

def download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name):
    config = Config(
        type='ecs_ram_role',      # 訪問憑證類型。固定為ecs_ram_role。
        role_name=role_name
    )
    cred = Client(config)
    credentials_provider = CredentialProviderWarpper(cred)
    auth = oss2.ProviderAuth(credentials_provider)

    # 初始化 OSS Bucket 對象
    bucket = oss2.Bucket(auth, endpoint, bucket_name)
    # 下載圖片到本地
    bucket.get_object_to_file(object_key, local_file)
    print("Image downloaded successfully")

if __name__ == "__main__":  

    # 定義全局變量
    role_name = 'role_name'  # 需替換為實例RAM角色名稱
    bucket_name = 'bucket_name'  # 需替換為Bucket名稱
    endpoint = 'http://oss-cn-beijing-internal.aliyuncs.com'  # 需替換為OSS Bucket的Endpoint，如果使用內網endpoint，需要確保ecs與oss處于同一個地域。
    object_key = 'testfolder/example.png'  # 需替換為你要下載的圖片在OSS中的完整存儲路徑（不包含Bucket名稱）
    local_file = '/localpath/to/image.png'  # 需替換為圖片需要在ECS上存儲的根路徑，并定義圖片名稱
    download_image_using_instance_role(bucket_name, endpoint, object_key, local_file, role_name)

其他操作

收回/更改ECS的實例RAM角色

相關文檔

• 當您的自建應用部署在阿里云ECS服務器上，且需要訪問KMS應用時，可以使用ECS實例RAM角色訪問KMS。具體操作，請參見使用ECS實例RAM角色安全訪問KMS。

• 當ECS不需要某些資源訪問權限時，可以通過移除實例RAM角色的權限來實現。具體操作，請參見為RAM角色移除權限。

• 訪問阿里云OpenAPI時，如果在代碼中硬編碼明文AK，容易因代碼倉庫權限管理不當造成AK泄露，建議您通過非AccessKey硬編碼的方式編程，使用訪問憑證訪問阿里云OpenAPI，可參見使用訪問憑據訪問阿里云OpenAPI最佳實踐和憑據的安全使用方案。