Simple Log Service:Autoriser un rôle RAM à lire les données d'un Logstore

Autoriser le rôle par défaut

Procédure

1. Connectez-vous à la console de gestion Alibaba Cloud avec votre compte Alibaba Cloud ou un utilisateur RAM.

2. Cliquez sur Resource Access Authorization pour finaliser l'autorisation.

   Remarque

   • Si le compte Alibaba Cloud ne dispose pas du rôle par défaut AliyunLogDefaultRole, ce rôle est créé lorsque l'utilisateur RAM clique sur le lien pour la première fois.

   • Simple Log Service endosse le rôle AliyunLogDefaultRole pour accéder à vos ressources dans d'autres produits cloud.

   • Pour plus de détails sur la politique d'accès de AliyunLogDefaultRole, consultez la page AliyunLogDefaultRole.

Autoriser un rôle personnalisé

Procédure

L'autorisation d'un rôle RAM permet à une tâche de transfert vers MaxCompute d'utiliser ce rôle pour lire les données du logstore.

1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud ou en tant qu'administrateur RAM.

2. Créez un rôle RAM destiné à être endossé par le service Alibaba Cloud. Pour plus d'informations, consultez la rubrique Créer un rôle RAM pour les services Alibaba Cloud.

   Important

   • Lors de la création du rôle RAM, définissez le champ Principal Type sur Cloud Service et le champ Principal Name sur Simple Log Service.

   • Vérifiez la politique de confiance du rôle RAM. Assurez-vous que l'élément Service contient au moins la valeur "log.aliyuncs.com".

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": [
               "log.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

3. Créez une politique personnalisée pour accorder les permissions de lecture sur le Logstore.

   Accordez les permissions par correspondance exacte ou par correspondance générique.

   Correspondance exacte

   Important

   Remplacez les valeurs Project name et Logstore name dans le document de politique selon vos besoins métier.

   "Version":"1", "Statement":[ { "Action":[ "log:GetCursorOrData", "log:ListShards" ], "Resource":[ "acs:log:::project/your-project-name/logstore/your-Logstore-name" ], "Effect":"Allow" } ] }

   Correspondance générique

   Important

   • Par exemple, utilisez une correspondance générique pour accorder des permissions à plusieurs projets et Logstores simultanément, tels que les projets nommés log-project-dev-* et les Logstores nommés website_*_log.

   • Remplacez les valeurs log-project-dev-* et website_*_log* dans la politique par vos propres modèles de noms de projet et de Logstore.

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
               ],
               "Effect":"Allow"
           }
       ]
   }

4. Attachez la politique personnalisée créée au rôle RAM. Pour plus d'informations, consultez la rubrique Gérer les permissions d'un rôle RAM.