Règles d'authentification et ressources RAM pour Simple Log Service - Simple Log Service

Politiques d'autorisation

Une politique d'autorisation est un ensemble de permissions définies par une structure syntaxique. Elle précise les ressources, les opérations et les conditions d'application des autorisations. Pour plus d'informations sur les éléments de base et la syntaxe des politiques pris en charge par RAM, consultez les rubriques Éléments des politiques d'autorisation et Syntaxe et structure des politiques.

RAM prend en charge les types de politiques d'autorisation suivants :

Politiques système gérées par Alibaba Cloud : Alibaba Cloud crée et maintient les versions de ces politiques. Vous pouvez les utiliser, mais pas les modifier.
Politiques personnalisées gérées par les utilisateurs : Vous créez, mettez à jour et supprimez ces politiques, et gérez leurs versions.

Attachez des politiques d'autorisation aux identités RAM pour accorder les permissions spécifiées dans ces politiques. Pour plus d'informations, consultez les rubriques Gérer les autorisations d'un utilisateur RAM, Accorder des autorisations à un groupe d'utilisateurs RAM et Gérer les autorisations d'un rôle RAM.

Éléments de base d'une politique d'accès

Les concepts et la syntaxe des politiques d'accès sont décrits dans la rubrique Éléments de base d'une politique d'accès.

Élément	Description
Effect	Indique si l'instruction de politique autorise ou refuse l'accès. Les valeurs valides sont : Allow : autorise l'accès. Deny : refuse l'accès.
Action/NotAction	L'opération effectuée sur une ressource spécifique. Vous devez spécifier Action ou NotAction dans une instruction de politique : Action : l'opération spécifique autorisée ou refusée. NotAction : les opérations exemptées de la politique. Lorsque vous utilisez NotAction, toutes les opérations sont autorisées ou refusées, sauf celles listées.
Resource	L'objet ou les objets spécifiques auxquels s'applique la politique.
Condition	Les conditions dans lesquelles l'autorisation prend effet.
Principal	L'entité dont l'accès à une ressource est autorisé ou refusé. Cet élément s'applique uniquement aux politiques basées sur les ressources, telles que la politique d'approbation d'un rôle RAM.

Flux d'autorisation

Créer un administrateur de compte.

Un compte Alibaba Cloud (compte racine) dispose de permissions illimitées sur toutes les ressources. Le partager empêche la traçabilité des actions au niveau des utilisateurs et présente un risque de sécurité élevé. N'utilisez pas votre compte racine pour les opérations quotidiennes.

Créez un utilisateur RAM avec l'autorisation AdministratorAccess pour servir d'administrateur du compte. Utilisez cet administrateur pour créer d'autres utilisateurs RAM dotés de différentes autorisations.
Créer une politique personnalisée.

RAM propose des politiques système (prédéfinies par Alibaba Cloud, en lecture seule) et des politiques personnalisées. Créez des politiques personnalisées lorsque les politiques système ne répondent pas à vos besoins d'autorisation.
Créez et autorisez un utilisateur RAM ou un rôle RAM :
- Créer et autoriser un utilisateur RAM.
  
  Créez des utilisateurs RAM et accordez à chacun uniquement les autorisations dont il a besoin.
  
  L'attribution du principe du moindre privilège à chaque utilisateur évite le partage des identifiants du compte racine et réduit les risques de sécurité.
- Créer et autoriser un groupe d'utilisateurs RAM.
  
  Utilisez les groupes d'utilisateurs RAM pour classer et autoriser les utilisateurs RAM ayant les mêmes responsabilités, afin de gérer les autorisations plus efficacement.
- Créer et autoriser un rôle RAM.
  
  Un rôle RAM est une identité virtuelle sans identifiants permanents. Une entité de confiance endosse le rôle et reçoit des identifiants temporaires sous forme de jeton Security Token Service (STS) pour accéder aux ressources autorisées. Consultez la rubrique Endosser un rôle RAM.

Action

Le format de l'action est log:${API_Name}, où ${API_Name} correspond au nom d'une API Simple Log Service. Toutes les API publiques sont répertoriées dans la rubrique Présentation des API.

Séparez plusieurs actions par des virgules (,) et utilisez l'astérisque (*) comme caractère générique. Par exemple, dans log:Create*, Create* correspond à tous les noms d'API commençant par Create, tels que CreateProduct, CreateThingModel et CreateProductTopic.

Important

Les API GetCursor et GetCursorTime correspondent à la même action : log:GetCursorOrData.

Resource

Les ressources Simple Log Service sont hiérarchiques. Un projet constitue la ressource racine. Les Logstores, les configurations et les groupes de machines sont des sous-ressources de même niveau d'un projet. Les expéditeurs (shippers) et les groupes de consommateurs sont des sous-ressources d'un Logstore.

Type de ressource	Description de la ressource dans une politique d'autorisation
Project	`acs:log:${regionName}:${uid}:project/${projectName}`
	`acs:log:${regionName}:${uid}:project/*`
Project:Logstore	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/*`
Project:Logstore:Shipper (obsolète)	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/${shipperName}` (obsolète)
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/*` (obsolète)
Project:Config	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/${logtailConfigName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/*`
Project:MachineGroup	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/${machineGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/*`
Project:ConsumerGroup	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/${consumerGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/*`
Project:SavedSearch	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/${savedSearchName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/*`
Project:Dashboard	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/${dashboardName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/*`
Project:Alarm	`acs:log:${regionName}:${uid}:project/${projectName}/alert/${alarmName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/alert/*`
Modèle général	`acs:log:${regionName}:${uid}:*`
	`acs:log::${uid}:`

Description des paramètres

Nom du paramètre

Description

${regionName}

Nom de la région.

${uid}

ID du compte Alibaba Cloud.

${projectName}

Nom du projet.

${logstoreName}

Nom du Logstore.

${logtailconfig}

Nom de la configuration Logtail.

${machineGroupName}

Nom du groupe de machines.

${shipperName} (obsolète)

Nom de la règle LogShipper.

${consumerGroupName}

Nom du groupe de consommateurs.

${savedSearchName}

Nom de la recherche enregistrée.

${dashboardName}

Nom du tableau de bord.

${alarmName}

Nom de la règle d'alerte.