阿里云国际代理商：人工智能平台PAI-配置EAS RAM角色

使用示例

介绍如何基于EAS的RAM角色访问PyODPS或OSS。您可以将代码集成到服务镜像中，也可以通过模型配置将其挂载到服务实例中。本示例将以挂载方式为例介绍，具体操作步骤如下：

1. 进入自定义部署页面，详情请参见服务部署。

2. 在自定义部署页面，配置以下关键参数，更多参数配置说明，请参见控制台自定义部署参数说明。

   参数		描述
   环境信息	运行命令	增加执行代码的命令，例如python /mnt/data/xx.py。
   	模型配置	将代码文件xx.py通过模型配置挂载到EAS服务实例中。选择代码文件所在目录，并配置挂载路径/mnt/data/。代码文件内容示例如下： 示例1：基于RAM角色访问OSS数据 示例2：基于RAM角色访问PyODPS数据   import oss2 from alibabacloud_credentials.client import Client from alibabacloud_credentials import providers from itertools import islice if __name__ == '__main__': auth = oss2.ProviderAuth(providers.DefaultCredentialsProvider()) # <oss_endpoint>需替换为您的OSS Bucket名称;<oss_bucket>需替换为您的OSS Bucket所在region的Endpoint。 bucket = oss2.Bucket(auth, '<oss_endpoint>', '<oss_bucket>' ) for b in islice(oss2.ObjectIterator(bucket), 10): print(b.key) 其中： <oss_bucket>需替换为您的OSS Bucket名称，并确保其为当前工作空间中预设的默认OSS存储空间（Bucket）。 <oss_endpoint>需替换为您的OSS Bucket所在region的Endpoint。因EAS默认不通公网，此处应配置内网Endpoint地址（例如oss-cn-hangzhou-internal.aliyuncs.com）。如果需要使用公网Endpoint（例如oss-cn-hangzhou.aliyuncs.com），则需为EAS配置具有公网访问能力的专有网络，详情请参见配置网络连通。
   	三方库配置	配置以下三方库列表，来安装阿里云Credentials工具、PyODPS SDK和OSS SDK。   alibabacloud_credentials pyodps oss2 说明 如果镜像中已预装此库，该配置步骤可省略。
   服务配置		以PAI默认角色为例，在服务配置区域JSON中添加以下配置：   "options": { "enable_ram_role": true } 说明 如果使用JSON直接部署，并且希望通过PAI默认角色调用OSS SDK时，需要确保服务配置中包含metadata.workspace_id字段。

3. 参数配置完成后，单击部署。

   服务部署成功后，您可以在服务日志中查看运行结果。

常见问题

部署EAS服务时配置自定义RAM角色报错，应如何解决？

• 报错信息：

  登录RAM控制台，确认角色是否存在。

  • 若角色不存在，请将实例自定义RAM角色修改为已存在的角色。

  • 若角色存在，请联系主账号为子账号授予如下自定义权限策略（需将${RoleName}替换为RAM角色名称），以获得将RAM角色传递给EAS实例的权限，详情请参见为RAM用户授权。

     

    {
      "Version": "1",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": "ram:PassRole",
          "Resource": "acs:ram::*:role/${RoleName}"
        }
      ]
    }

• 部署事件报错信息为unable to render, error: failed to assume role for user, reason: You are not authorized to do this action. You should be authorized by RAM.。

  可在模型在线服务（EAS）页面，单击服务名称，然后切换到部署事件页签进行查看。如下图所示：

  该问题一般是由于您的角色未配置信任策略。您可以按照以下操作步骤为您的角色添加信任策略：

  1. 使用RAM管理员登录RAM控制台。

  2. 在左侧导航栏，选择身份管理 > 角色。

  3. 在角色页面，单击目标RAM角色名称。

  4. 在信任策略页签，单击编辑信任策略，添加信任“eas.pai.aliyuncs.com”。

  5. 在编辑器中修改信任策略内容，然后单击确定。

     假设该角色原始的信任策略为：

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     则新的策略内容如下：

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "RAM": [
               "acs:ram::aaa:root"
             ],
             "Service": [
               "xxx.aliyuncs.com",
               "eas.pai.aliyuncs.com" 
             ]
           }
         }
       ],
       "Version": "1"
     }