Otorgar permisos de ActionTrail a un usuario de RAM - Simple Log Service

Otorgue permisos a un usuario de RAM para gestionar ActionTrail mediante la vinculación de una directiva del sistema o una directiva personalizada.

Requisitos previos

Debe haber creado un usuario de RAM. Para obtener más información, consulte Create a RAM user.

Contexto

Puede otorgar permisos a un usuario de RAM para gestionar la consola de ActionTrail de las siguientes maneras:

Directiva del sistema: directiva no modificable que Alibaba Cloud crea y mantiene. Solo se puede vincular o desvincular de un usuario de RAM. Este método es sencillo.
Directiva personalizada: directiva que usted crea y mantiene. Este método ofrece un control y una seguridad más granulares, pero su configuración es más compleja.

Directiva del sistema

Inicie sesión en la consola de RAM y vincule las directivas del sistema AliyunLogFullAccess y AliyunRAMFullAccess al usuario de RAM. Estas directivas otorgan permisos completos de gestión. Para obtener más información, consulte Manage the permissions of a RAM user.

Directiva personalizada

Inicie sesión en la consola de RAM.

Cree una directiva.

En el panel de navegación izquierdo, seleccione Permission Management > Policy.
Haga clic en Create Policy.

En la página Create Policy, en la pestaña JSON, pegue una de las siguientes directivas en el editor para reemplazar el script existente. Luego, haga clic en Continue to edit basic information.

Seleccione una de las siguientes directivas según el nivel de permisos que desee otorgar:

Permisos de solo lectura (otorgan permisos para consultar las páginas de ActionTrail, pero no para modificar configuraciones).

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:GetApp"
            ],
            "Resource": [
                "acs:log:*:*:app/audit"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:Get*",
                "log:List*"
            ],
            "Resource": [
                "acs:log:*:*:project/slsaudit-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:GetProductDataCollection"
            ],
            "Resource": "acs:config:*:*:*"
        }
    ]
}

Permisos de lectura y escritura (otorgan permisos para ejecutar todas las operaciones en ActionTrail, incluida la modificación de configuraciones globales).

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:GetApp",
                "log:CreateApp"
            ],
            "Resource": [
                "acs:log:*:*:app/audit"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:Get*",
                "log:List*",
                "log:CreateJob",
                "log:UpdateJob",
                "log:CreateProject"
            ],
            "Resource": [
                "acs:log:*:*:project/slsaudit-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "log:GetProductDataCollection",
                "log:OpenProductDataCollection"
            ],
            "Resource": "acs:config:*:*:*"
        }
    ]
}

Introduzca un Name para la directiva y haga clic en OK.

Por ejemplo, establezca el nombre de la directiva como log-slsaudit-policy.

Vincule la directiva al usuario de RAM.
1. En el panel de navegación izquierdo, seleccione Identities > > > Users.
2. Localice al usuario de RAM deseado y haga clic en Add Permissions.
3. En el panel Create Authorization, en la sección Policy, seleccione Custom Policy en la lista desplegable. A continuación, seleccione la directiva que creó en el paso 2 y haga clic en OK.