Simple Log Service:Configurer l'autorisation pour la surveillance des données entre projets

Scénarios

Étape 1 : Configurer l'autorisation

1. Spécifiez une instruction de requête. Pour plus d'informations, consultez la rubrique Créer une règle d'alerte.

2. Configurez une méthode d'autorisation.

   Utiliser la méthode d'autorisation par défaut

   Pour surveiller différents Logstores et Metricstores au sein du même projet, utilisez la méthode d'autorisation Default.

   Dans l'onglet Advanced Settings, définissez le paramètre Authorization Method sur Default.

   Utiliser un rôle intégré

   Pour surveiller des Logstores et Metricstores sur plusieurs projets au sein d'un compte Alibaba Cloud, attribuez un built-in role à Simple Log Service.

   Dans l'onglet Advanced Settings, définissez le paramètre Authorization Method sur Built-in Role. S'il s'agit de votre première utilisation, connectez-vous avec le compte propriétaire du compte Alibaba Cloud pour effectuer l'autorisation comme indiqué. Après l'autorisation, Simple Log Service crée un rôle RAM nommé AliyunSLSAlertMonitorRole et endosse ce rôle pour lire les données depuis les Logstores source.

   Utiliser un rôle personnalisé (au sein d'un compte Alibaba Cloud)

   Pour surveiller différents Logstores ou Metricstores au sein du même compte Alibaba Cloud avec un contrôle fin des autorisations, utilisez un Custom Role.

   1. Créer un rôle RAM pour un service Alibaba Cloud de confiance, puis sélectionnez Simple Log Service en tant que service de confiance.

   2. Créez une stratégie personnalisée. Dans l'onglet JSON de la page Créer une stratégie, remplacez le script existant dans l'éditeur de code par le document de stratégie suivant. Pour plus d'informations, consultez la rubrique Utiliser l'éditeur de script.

      Important

      Remplacez ProjectName dans le script suivant par le nom réel de votre projet. Pour des autorisations plus granulaires, par exemple pour permettre la création de règles d'alerte uniquement dans un projet spécifique, vous pouvez spécifier le projet dans l'élément Resource de la stratégie, par exemple acs:log:*:*:project/my-project.

      {
        "Statement": [
          {
            "Action": [
              "log:ListProject"
            ],
            "Effect": "Allow",
            "Resource": [
              "acs:log:*:*:*"
            ]
          },
          {
            "Action": [
              "log:ListLogStores",
              "log:GetLogStoreLogs",
              "log:GetIndex"
            ],
            "Effect": "Allow",
            "Resource": [
              "acs:log:*:*:project/Project name/*"
            ]
          }
        ],
        "Version": "1"
      }

   3. Attachez la stratégie personnalisée créée au rôle RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un rôle RAM.

   Étapes suivantes

   1. Obtenez le nom de ressource Alibaba Cloud (ARN) du rôle RAM. Pour plus d'informations, consultez la rubrique Afficher un rôle RAM.

   2. Lorsque vous utilisez l'autorisation Custom Role, saisissez l'ARN du rôle RAM. Pour plus d'informations, consultez la rubrique Créer une règle d'alerte.

      Dans l'onglet Advanced Settings, définissez le paramètre Authorization method sur Custom Role, puis saisissez l'ARN dans la zone de saisie Role ARN.

   Utiliser un rôle personnalisé (sur plusieurs comptes Alibaba Cloud)

   Surveillez des Logstores ou Metricstores sur plusieurs comptes Alibaba Cloud. Par exemple, créez une règle d'alerte dans le compte A qui surveille les données dans les Logstores ou Metricstores du compte B.

   Utilisez le compte Alibaba Cloud B pour effectuer les étapes suivantes :

   1. Créer un rôle RAM pour un service Alibaba Cloud de confiance, puis sélectionnez Simple Log Service en tant que service de confiance.

   2. Modifiez la stratégie d'approbation du rôle RAM. Pour plus d'informations, consultez la rubrique Modifier la stratégie d'approbation d'un rôle RAM.

      Important

      Remplacez The ID of Alibaba Cloud account A par l'ID du compte A. Vous pouvez trouver l'ID du compte dans le centre de compte.

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "ID of Alibaba Cloud Account A@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

   3. Créez une stratégie personnalisée. Dans l'onglet JSON de la page Créer une stratégie, remplacez le script existant dans l'éditeur de code par le document de stratégie suivant. Pour plus d'informations, consultez la rubrique Utiliser l'éditeur de script.

      Important

      Remplacez ProjectName par le nom réel de votre projet. Pour des autorisations plus granulaires, par exemple pour permettre la création de règles d'alerte uniquement dans un projet spécifique, vous pouvez spécifier le projet dans l'élément Resource de la stratégie, par exemple acs:log:*:*:project/my-project.

      {
        "Statement": [
          {
            "Action": [
              "log:ListProject"
            ],
            "Effect": "Allow",
            "Resource": [
              "acs:log:*:*:*"
            ]
          },
          {
            "Action": [
              "log:ListLogStores",
              "log:GetLogStoreLogs",
              "log:GetIndex"
            ],
            "Effect": "Allow",
            "Resource": [
              "acs:log:*:*:project/Project name/*"
            ]
          }
        ],
        "Version": "1"
      }

   4. Attachez la stratégie personnalisée créée au rôle RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un rôle RAM.

   5. Obtenez le nom de ressource Alibaba Cloud (ARN) du rôle RAM. Pour plus d'informations, consultez la rubrique Afficher un rôle RAM.

   Étapes suivantes

   1. Obtenez le nom de ressource Alibaba Cloud (ARN) du rôle RAM. Pour plus d'informations, consultez la rubrique Afficher un rôle RAM.

   2. Lorsque vous créez une règle d'alerte dans le compte Alibaba Cloud A, sélectionnez Custom Role pour l'autorisation et saisissez l'ARN du rôle RAM du compte Alibaba Cloud B dans le champ Role ARN. Pour plus d'informations, consultez la rubrique Créer une règle d'alerte.

{
     "Action": "ram:PassRole",
     "Effect": "Allow",
     "Resource": "acs:ram::ID of Alibaba Cloud Account:Role ARN"
 }