How to grant a RAM user permissions to manage alerts and configure cross-project alert monitoring - Simple Log Service

Vous pouvez accorder à un utilisateur Resource Access Management (RAM) des autorisations pour gérer les alertes et configurer l'autorisation nécessaire à la surveillance des journaux across projects, regions, and Alibaba Cloud accounts.

Prérequis

Un utilisateur RAM a été créé. Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.

Accorder à un utilisateur RAM un accès en lecture seule aux alertes

Méthode 1 : Accorder une stratégie système

Attachez la stratégie système AliyunLogReadOnlyAccess à l'utilisateur RAM pour lui accorder des autorisations en lecture seule pour les alertes. Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un utilisateur RAM.

Méthode 2 : Créer et accorder une stratégie personnalisée

Connectez-vous à la console RAM en utilisant votre compte Alibaba Cloud ou un utilisateur RAM disposant de droits administratifs.

Créez une stratégie personnalisée. Dans l'onglet JSON de la page Créer une stratégie, remplacez le script existant dans l'éditeur de code par le document de stratégie suivant. Pour plus d'informations, consultez la rubrique Utiliser l'éditeur de script.

Important

your_project_name : Le projet contenant les données d'alerte auxquelles vous souhaitez accorder un accès en lecture seule. Remplacez cet espace réservé par le nom réel de votre projet.
*sls-alert-** : Correspond à tous les projets du centre d'alerte global dans le compte Alibaba Cloud actuel. Ces projets stockent les données d'évaluation de toutes les règles d'alerte, les journaux envoyés et les rapports d'alerte globaux. Si vous n'avez pas besoin de consulter les rapports globaux, supprimez acs:log:*:*:project/sls-alert-*/* de la liste des ressources.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStore"
      ],
      "Resource": [
        "acs:log:*:*:project/your_project_name/logstore/internal-alert-history",
        "acs:log:*:*:project/sls-alert-*/logstore/internal-alert-center-log"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetJob",
        "log:ListJobs"
      ],
      "Resource": "acs:log:*:*:project/your_project_name/job/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetProject"
      ],
      "Resource": [
        "acs:log:*:*:project/sls-alert-*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:ListLogStores",
        "log:GetIndex",
        "log:GetDashboard",
        "log:ListDashboard"
      ],
      "Resource": [
        "acs:log:*:*:project/your_project_name/*",
        "acs:log:*:*:project/sls-alert-*/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetResource",
        "log:ListResources",
        "log:GetResourceRecord",
        "log:ListResourceRecords"
      ],
      "Resource": [
        "acs:log:*:*:resource/*"
      ]
    }
  ]
}

Attachez la stratégie personnalisée créée à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

Accorder à un utilisateur RAM des autorisations pour gérer les alertes

Méthode 1 : Accorder une stratégie système

Attachez la stratégie système AliyunLogFullAccess à l'utilisateur RAM pour lui accorder des autorisations de gestion complètes pour Simple Log Service. Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un utilisateur RAM.

Méthode 2 : Créer et accorder une stratégie personnalisée

Connectez-vous à la console RAM en utilisant votre compte Alibaba Cloud ou un utilisateur RAM disposant de droits administratifs.

Important

your_project_name : Le projet contenant les données d'alerte que vous souhaitez gérer. Remplacez cet espace réservé par le nom réel de votre projet.
sls-alert- : Correspond à tous les projets du centre d'alerte global dans le compte Alibaba Cloud actuel. Ces projets stockent les données d'évaluation de toutes les règles d'alerte, les journaux envoyés et les rapports d'alerte globaux. Pour accorder des autorisations pour un seul projet de centre d'alerte global, remplacez sls-alert-**** par le nom du projet au format sls-alert-${uid}-${region}. Exemple : sls-alert-148****6461-cn-hangzhou.
La stratégie inclut des autorisations pour créer des Logstores, créer des index et mettre à jour des index. Ces autorisations permettent à l'utilisateur RAM de gérer les Logstores système liés aux alertes, tels que le Logstore d'historique des alertes et le Logstore du centre d'alerte global. Cet accès est requis pour afficher des rapports tels que le rapport d'historique des alertes.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStore",
        "log:UpdateLogStore",
        "log:CreateLogStore",
        "log:CreateIndex",
        "log:UpdateIndex"
      ],
      "Resource": [
        "acs:log:*:*:project/your_project_name/logstore/internal-alert-history",
        "acs:log:*:*:project/sls-alert-*/logstore/internal-alert-center-log"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:*"
      ],
      "Resource": "acs:log:*:*:project/your_project_name/job/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetProject",
        "log:CreateProject"
      ],
      "Resource": [
        "acs:log:*:*:project/sls-alert-*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:GetLogStoreLogs",
        "log:ListLogStores",
        "log:GetIndex",
        "log:GetDashboard",
        "log:CreateDashboard",
        "log:UpdateDashboard",
        "log:ListDashboard"
      ],
      "Resource": [
        "acs:log:*:*:project/your_project_name/*",
        "acs:log:*:*:project/sls-alert-*/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "log:*"
      ],
      "Resource": [
        "acs:log:*:*:resource/*"
      ]
    }
  ]
}

Attachez la stratégie personnalisée créée à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.