Accorder diverses autorisations à un utilisateur RAM - ActionTrail

Prérequis

Assurez-vous d'avoir créé un utilisateur RAM. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.
Assurez-vous d'avoir créé le rôle lié au service ActionTrail (AliyunServiceRoleForActionTrail). Pour plus d'informations, consultez la rubrique Créer un rôle lié au service.

Procédure

Connectez-vous à la console RAM.
Dans le volet de navigation de gauche, choisissez Identities > User.
Sur la page Users, recherchez l'utilisateur RAM cible et cliquez sur Add Permissions dans la colonne Actions.

Dans le panneau Grant Permission, sélectionnez une Resource Scope, puis choisissez une ou plusieurs Policies.

Sélectionnez une étendue de ressources.
- Entire Account : les autorisations s'appliquent au compte Alibaba Cloud actuel.
- Specific Resource Group : les autorisations s'appliquent au groupe de ressources spécifié.
  
  Important
  Pour accorder des autorisations au niveau du groupe de ressources, assurez-vous que le service cloud et le type de ressource prennent en charge les groupes de ressources. Pour plus d'informations, consultez la rubrique Services compatibles avec Resource Group. Pour un exemple d'autorisation basée sur les groupes de ressources, consultez la rubrique Utiliser CloudSSO pour gérer l'identité et l'accès dans une architecture multicompte.
Confirmez le principal.

Le principal correspond à l'utilisateur RAM qui recevra les autorisations. L'utilisateur RAM actuel est automatiquement sélectionné.

Sélectionnez des politiques.

Les politiques définissent un ensemble d'autorisations et sont classées en politiques système et politiques personnalisées. Vous pouvez sélectionner plusieurs politiques.

Politique système : dans la liste Policy Name , sélectionnez les politiques souhaitées.

Nom de la politique	Description
AliyunActionTrailReadOnlyAccess	Accorde des autorisations en lecture seule pour ActionTrail.
AliyunActionTrailFullAccess	Accorde les autorisations permettant de gérer ActionTrail.
AliyunOSSReadOnlyAccess	Accorde des autorisations en lecture seule pour Object Storage Service.
AliyunLogReadOnlyAccess	Accorde des autorisations en lecture seule pour Simple Log Service.

Politique personnalisée : cliquez sur All Policy Types, puis sélectionnez Custom Policy.

Pour savoir comment créer une politique personnalisée, consultez la rubrique Créer une politique personnalisée.

Exemple 1 : accorder à un utilisateur RAM des autorisations complètes pour ActionTrail ainsi que les autorisations nécessaires pour lister les buckets Object Storage Service (OSS) et les projets Simple Log Service (SLS). Cela permet à l'utilisateur de gérer les trails.

Exemple de code :

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "actiontrail:*",
                "oss:GetService",
                "log:ListProject"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

Description des autorisations :

Action	Description
oss:GetService	Accorde l'autorisation de lister les buckets OSS.
log:ListProject	Accorde l'autorisation de lister les projets SLS.
actiontrail:*	Accorde des autorisations complètes pour ActionTrail.

Exemple 2 : accorder à un utilisateur RAM les autorisations nécessaires pour gérer les trails ActionTrail et les composants Simple Log Service, tels que les Logstores, les index, les tableaux de bord, les graphiques et les projets. Cela permet à l'utilisateur de gérer les alertes.

Exemple de code :

{ 
    "Version": "1", 
    "Statement": [
      {
     "Effect": "Allow",
     "Action": [
       "actiontrail:DescribeTrails",
       "actiontrail:SetDefaultTrail",
       "actiontrail:GetDefaultTrail",
       "actiontrail:CreateTrail"
     ],
     "Resource": "*"   
     },
   {
     "Effect": "Allow",
     "Action": [
       "log:CreateLogStore",
       "log:CreateIndex",
       "log:UpdateIndex"
     ],
     "Resource": [
       "acs:log:*:*:project/YourProjectName/logstore/internal-alert-history",
       "acs:log:*:*:project/sls-alert-*/logstore/internal-alert-center-log"
     ]   
     },
   {
     "Effect": "Allow",
     "Action": [
       "log:CreateDashboard",
       "log:CreateChart",
       "log:UpdateDashboard"
     ],
     "Resource": "acs:log:*:*:project/YourProjectName/dashboard/*"
   },
   {
     "Effect": "Allow",
     "Action": [
       "log:*"
     ],
     "Resource": "acs:log:*:*:project/YourProjectName/job/*"   
     },
   {
     "Effect": "Allow",
     "Action": [
       "log:CreateProject"
     ],
     "Resource": [
       "acs:log:*:*:project/sls-alert-*"
     ]
   }
 ]
}

Description des autorisations :

Action	Description
actiontrail:DescribeTrails	Interroge les trails.
actiontrail:SetDefaultTrail	Définit le trail par défaut pour les alertes.
actiontrail:GetDefaultTrail	Interroge le trail par défaut pour les alertes.
actiontrail:CreateTrail	Crée un trail.
log:CreateLogstore	Crée un Logstore.
log:CreateIndex	Crée un index.
log:UpdateIndex	Met à jour un index.
log:CreateDashboard	Crée un tableau de bord.
log:CreateChart	Crée un graphique.
log:UpdateDashboard	Met à jour un tableau de bord.
log:CreateProject	Crée un projet.

Cliquez sur OK.

Cliquez sur Close.

Documentation connexe

Pour découvrir d'autres méthodes d'attribution d'autorisations à un utilisateur RAM, consultez la rubrique Gérer les autorisations d'un utilisateur RAM.
Pour accorder des autorisations via un appel d'API, consultez la rubrique AttachPolicyToUser.