Le rôle lié au service AliyunServiceRoleForActionTrail est un rôle Resource Access Management (RAM) qu'ActionTrail endosse pour accéder à d'autres services Alibaba Cloud. Cette rubrique décrit les scénarios d'utilisation de ce rôle, ses autorisations ainsi que la procédure de création et de suppression du rôle.
Scénarios
Le rôle AliyunServiceRoleForActionTrail s'applique aux scénarios suivants :
-
Accès à Simple Log Service
Si vous créez une piste et spécifiez un projet Simple Log Service pour stocker les événements, ActionTrail endosse le rôle AliyunServiceRoleForActionTrail afin d'obtenir les autorisations nécessaires pour créer un Logstore dans le projet spécifié et y écrire les événements.
-
Accès à Object Storage Service (OSS)
Si vous créez une piste et spécifiez un compartiment OSS pour stocker les événements, ActionTrail endosse le rôle AliyunServiceRoleForActionTrail afin d'obtenir les autorisations nécessaires pour écrire les événements dans le compartiment OSS spécifié.
-
Accès à Simple Message Queue (anciennement MNS)
Si vous créez une piste, spécifiez un compartiment OSS pour stocker les événements et indiquez également une rubrique Simple Message Queue pour recevoir les messages de livraison des événements, ActionTrail endosse le rôle AliyunServiceRoleForActionTrail afin d'obtenir les autorisations nécessaires pour envoyer des messages à la rubrique Simple Message Queue.
-
Accès à Resource Directory
Si vous créez une piste multi-comptes pour acheminer les événements de tous les membres d'un annuaire de ressources vers l'objet de stockage spécifié, ActionTrail endosse le rôle AliyunServiceRoleForActionTrail afin d'obtenir les autorisations nécessaires pour accéder à l'annuaire de ressources et récupérer les membres qui en font partie.
Pour plus d'informations, consultez la section Rôles liés au service.
Autorisations
Rôle : AliyunServiceRoleForActionTrail
Stratégie : AliyunServiceRolePolicyForActionTrail
Une fois le rôle lié au service attribué à ActionTrail, celui-ci dispose des autorisations nécessaires pour accéder aux ressources d'autres services Alibaba Cloud, tels qu'OSS, Simple Log Service, Simple Message Queue (anciennement MNS) et Resource Directory.
{
"Version": "1",
"Statement": [
{
"Action": [
"oss:ListObjects",
"oss:PutObject",
"oss:GetBucketInfo",
"oss:GetBucketLifecycle",
"oss:GetBucketLocation",
"kms:ListKeys",
"kms:Listalias",
"kms:ListAliasesByKeyId",
"kms:DescribeKey",
"kms:GenerateDataKey",
"kms:Decrypt"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"log:GetProject",
"log:ListJobs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"log:PostLogStoreLogs",
"log:CreateLogstore",
"log:GetLogstore",
"log:CreateIndex",
"log:UpdateIndex",
"log:GetIndex",
"log:GetLogStoreLogs"
],
"Resource": [
"acs:log:*:*:project/*/logstore/actiontrail_*",
"acs:log:*:*:project/*/logstore/innertrail_*",
"acs:log:*:*:project/*/logstore/insights_*"
],
"Effect": "Allow"
},
{
"Action": [
"log:CreateDashboard",
"log:UpdateDashboard"
],
"Resource": "acs:log:*:*:project/*/dashboard/*",
"Effect": "Allow"
},
{
"Action": [
"log:CreateSavedSearch",
"log:UpdateSavedSearch"
],
"Resource": [
"acs:log:*:*:project/*/savedsearch/actiontrail_*",
"acs:log:*:*:project/*/savedsearch/innertrail_*",
"acs:log:*:*:project/*/savedsearch/insights_*"
],
"Effect": "Allow"
},
{
"Action": [
"mns:PublishMessage"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"resourcemanager:GetResourceDirectory",
"resourcemanager:ListAccounts",
"resourcemanager:GetResourceDirectoryAccount"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cms:DescribeMetricList",
"cms:QueryMetricList"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Effect": "Allow",
"Condition": {
"StringEquals": {
"ram:ServiceName": "actiontrail.aliyuncs.com"
}
}
},
{
"Effect": "Allow",
"Action": "odps:updateUsersToAdmin",
"Resource": "acs:odps:*:*:projects/actiontrail_*"
}
]
}Créer le rôle AliyunServiceRoleForActionTrail
ActionTrail crée automatiquement le rôle AliyunServiceRoleForActionTrail si celui-ci n'existe pas lors de la première exécution de l'une des opérations suivantes :
Appelez l'opération CreateTrail pour créer une piste.
Créez une piste dans la console ActionTrail.
Supprimer le rôle AliyunServiceRoleForActionTrail
Avant de supprimer le rôle AliyunServiceRoleForActionTrail, supprimez toutes les pistes dans la console ActionTrail. Pour plus d'informations, consultez les sections Supprimer une piste mono-compte et Supprimer une piste multi-comptes.
Supprimez le rôle AliyunServiceRoleForActionTrail dans la console RAM. Pour plus d'informations, consultez la section Supprimer un rôle RAM.