Cree directivas personalizadas de RAM para SLS cuando las directivas del sistema no satisfagan sus necesidades. Las directivas personalizadas permiten un control detallado de permisos y mejoran la seguridad en el acceso a los recursos, conforme al principio de privilegio mínimo.
¿Qué es una directiva personalizada?
Las directivas de Resource Access Management (RAM) se clasifican en directivas del sistema y directivas personalizadas. Gestione las directivas personalizadas según los requisitos de su negocio.
Después de crear una directiva personalizada, vincúlela a un usuario de RAM, un grupo de usuarios de RAM o un rol de RAM. De este modo, los permisos especificados en la directiva se otorgan al principal.
Elimine cualquier directiva de RAM que no esté vinculada a ningún principal. Si la directiva está vinculada a un principal, primero desvincúlela antes de eliminarla.
Las directivas personalizadas admiten control de versiones. Gestione las versiones de estas directivas mediante el mecanismo de gestión de versiones proporcionado por RAM.
Referencias
Ejemplos de directivas
Permisos de aplicación
log:GetApp es una acción de lectura de aplicación que corresponde a la operación openapi DescribeApp. Otorgue esta acción para permitir que un usuario de RAM lea la información de una aplicación (App) específica.
El formato de Resource es acs:log:*:{accountId}:app/{appName}, donde {accountId} es el ID de la cuenta de Alibaba Cloud y {appName} es el nombre de la App. Especifique un nombre exacto de App o utilice un asterisco (*) para una coincidencia aproximada.
La siguiente directiva de acceso otorga este permiso:
{
"Version": "1",
"Statement": [
{
"Action": [
"log:GetApp"
],
"Resource": [
"acs:log:*:{accountId}:app/{appName}"
],
"Effect": "Allow"
}
]
}Antes de empezar
Antes de crear una directiva personalizada, comprenda sus requisitos y la autorización de SLS. Para obtener más información, consulte RAM authorization.
Permisos como ListStoreViews y GetApp son permisos auxiliares de Simple Log Service. Su estado de autorización, incluida la falta de autorización o una autorización ineficaz, no afecta las capacidades principales de consulta y visualización de registros. Si un usuario de Resource Access Management (RAM) ve un mensaje de permisos insuficientes en la consola, aún podrá consultar y visualizar datos de registro en los proyectos y LogStores autorizados.