SLS RAM access control permissions - Simple Log Service - Centre de documentation Alibaba Cloud

Utilisez Resource Access Management (RAM) pour attribuer différentes permissions SLS à différents utilisateurs. Les sections suivantes détaillent les permissions requises pour chaque fonctionnalité de SLS.

Remarque

Utilisateurs RAM : demandez la politique requise au propriétaire du compte Alibaba Cloud. Accorder des permissions à un utilisateur RAM.

Politiques système

SLS propose les politiques système suivantes. Ces politiques sont gérées par Alibaba Cloud et ne peuvent pas être modifiées :

AliyunLogFullAccess : accorde un accès complet à SLS.
AliyunLogReadOnlyAccess : accorde un accès en lecture seule à SLS.

Politiques personnalisées

Pour un contrôle d'accès plus fin que celui offert par les politiques système, créez des politiques personnalisées.

SLS met à disposition l'Assistant de permissions pour simplifier la création de politiques personnalisées.

Obtenir une politique à l'aide de l'Assistant de permissions

Connectez-vous à la console Simple Log Service et cliquez sur le projet cible dans la liste des projets.
Dans le volet de navigation de gauche, choisissez Other > Permission Assistant.

Sur la page Permission Assistant, configurez les paramètres suivants et cliquez sur Next.

Common Project : inclut les autorisations pour tous les modules fonctionnels de SLS.

Parameter	Description
Select Scenario	Sélectionnez un scénario prédéfini ou personnalisez la configuration en choisissant des modules spécifiques. Chaque module prend en charge une autorisation de gestion ou en lecture seule.
Resources	Appliquez les autorisations à des ressources spécifiques. Utilisez un astérisque (``) comme caractère générique pour les noms de projet et de Logstore. Par exemple : Accéder à toutes les ressources SLS : `"Action": "log:", "Resource": "",` Accéder uniquement au projet project01 : `acs:log:::project/project01` `acs:log:::project/project01/` Accéder uniquement au Logstore logstore01 dans le projet project01 : `acs:log:::project/project01/logstore/logstore01` `acs:log:::project/project01/logstore/logstore01/*`
Limits	Configurez les conditions en fonction des éléments de politique.

Application : inclut les autorisations pour Cost Manager, Log Audit Service et K8s Event Center.

Parameter

Description

Applications

Sélectionnez les applications et définissez l'autorisation sur Allow ou Deny pour chacune d'elles.

Select Scenario

Lorsque vous définissez l'autorisation d'une application sur Allow, les modules associés sont automatiquement sélectionnés. Vous pouvez personnaliser cette sélection.

Chaque module prend en charge une autorisation de gestion ou en lecture seule.

Resources

Les ressources sont automatiquement sélectionnées en fonction de l'application et ne peuvent pas être modifiées.

Limits

Configurez les conditions en fonction des éléments de politique.

Prévisualisez et copiez la politique, puis utilisez-la pour créer une politique personnalisée.

Le tableau suivant répertorie les opérations SLS et les autorisations requises :

Type d'opération

Actions

Description

Lecture

log:GetAlert

Récupère une règle d'alerte.

Lecture

log:GetAppliedConfigs

Récupère les configurations Logtail appliquées.

Lecture

log:GetAppliedMachineGroups

Récupère les groupes de machines associés à une configuration Logtail.

Lecture

log:GetAzureBlobIngestion

Récupère une tâche d'importation Azure Blob.

Lecture

log:GetConfig

Récupère une configuration Logtail.

Lecture

log:GetCursorOrData

Récupère un curseur par horodatage.

Lecture

log:GetDashboard

Récupère un tableau de bord.

Lecture

log:GetDownloadJob

Récupère une tâche de téléchargement de journaux.

Lecture

log:GetElasticSearchIngestion

Récupère une tâche d'importation Elasticsearch.

Lecture

log:GetETL

Récupère une tâche de transformation de données.

Lecture

log:GetGCSIngestion

Récupère une tâche d'importation GCS.

Lecture

log:GetIndex

Récupère un index.

Lecture

log:GetKafkaIngestion

Récupère une tâche d'importation Kafka.

Lecture

log:GetLogging

Récupère la configuration des journaux de service.

Lecture

log:GetLogStore

Récupère un Logstore.

Lecture

log:GetLogStoreLogs

Récupère les journaux de surveillance d'un Logstore.

Lecture

log:GetLogStoreMeteringMode

Récupère le mode de facturation d'un Logstore.

Lecture

log:GetLogtailPipelineConfig

Récupère une configuration de pipeline Logtail.

Lecture

log:GetMachineGroup

Récupère un groupe de machines.

Lecture

log:GetMaxComputeExport

Récupère une tâche d'exportation de données vers MaxCompute.

Lecture

log:GetOSSExport

Récupère une tâche d'exportation de données vers OSS.

Lecture

log:GetOSSIngestion

Récupère une tâche d'importation OSS.

Lecture

log:GetProject

Récupère un Project.

Lecture

log:GetProjectPolicy

Récupère la politique d'autorisation du Project.

Lecture

log:GetS3Ingestion

Récupère une tâche d'importation S3.

Lecture

log:GetSavedSearch

Récupère une recherche enregistrée.

Lecture

log:GetScheduledSQL

Récupère une tâche SQL planifiée.

Lecture

log:GetStoreView

Récupère un ensemble de données.

Lecture

log:GetStoreViewIndex

Récupère la configuration d'index d'un ensemble de données.

Lecture

log:ListConsumerGroup

Liste les groupes de consommateurs.

Lecture

log:ListDomains

Liste les noms de domaine personnalisés.

Lecture

log:ListLogStores

Liste les Logstores.

Lecture

log:ListMachineGroup

Liste les groupes de machines d'un Project.

Lecture

log:ListMachines

Liste les machines d'un groupe de machines.

Lecture

log:ListProject

Liste les Projects.

Lecture

log:ListSavedSearch

Liste les recherches enregistrées.

Lecture

log:ListShards

Liste les shards.

Lecture

log:ListTagResources

Liste les tags des ressources.

Lecture

log:ListProjectsInRecycleBin

Liste les Projects dans la corbeille.

Écriture

log::PutProjectTransferAcceleration

Configure l'accélération de transfert pour un Project.

Écriture

log:ChangeResourceGroup

Modifie le groupe de ressources d'une ressource.

Écriture

log:ConsumerGroupHeartBeat

Envoie un signal de maintien de connexion pour un groupe de consommateurs.

Écriture

log:ConsumerGroupUpdateCheckPoint

Met à jour un point de contrôle de consommation.

Écriture

log:CreateAzureBlobIngestion

Crée une tâche d'importation Azure Blob.

Écriture

log:CreateConfig

Crée une configuration Logtail.

Écriture

log:CreateConsumerGroup

Crée un groupe de consommateurs.

Écriture

log:CreateDashboard

Crée un tableau de bord.

Écriture

log:CreateDomain

Crée un nom de domaine personnalisé.

Écriture

log:CreateDownloadJob

Crée une tâche de téléchargement de journaux.

Écriture

log:CreateElasticSearchIngestion

Crée une tâche d'importation Elasticsearch.

Écriture

log:CreateETL

Crée une tâche de transformation de données.

Écriture

log:CreateGCSIngestion

Crée une tâche d'importation GCS.

Écriture

log:CreateIndex

Crée un index.

Écriture

log:CreateKafkaIngestion

Crée une tâche d'importation Kafka.

Écriture

log:CreateLogging

Crée un journal de service.

Écriture

log:CreateLogStore

Crée un Logstore.

Écriture

log:CreateLogtailPipelineConfig

Crée une configuration de pipeline Logtail.

Écriture

log:CreateMachineGroup

Crée un groupe de machines.

Écriture

log:CreateMaxComputeExport

Crée une tâche d'exportation de données vers MaxCompute.

Écriture

log:CreateMetricStore

Crée un Metricstore.

Écriture

log:CreateOSSExport

Crée une tâche d'exportation de données vers OSS.

Écriture

log:CreateOSSIngestion

Crée une tâche d'importation OSS.

Écriture

log:CreateProject

Crée un Project.

Écriture

log:CreateS3Ingestion

Crée une tâche d'importation S3.

Écriture

log:CreateSavedSearch

Crée une recherche enregistrée.

Écriture

log:CreateScheduledSQL

Crée une tâche SQL planifiée.

Écriture

log:CreateSqlInstance

Crée une instance SQL dédiée.

Écriture

log:CreateStoreView

Crée un ensemble de données.

Écriture

log:DeleteAlert

Supprime une règle d'alerte.

Écriture

log:DeleteAzureBlobIngestion

Supprime une tâche d'importation Azure Blob.

Écriture

log:DeleteConfig

Supprime une configuration Logtail.

Écriture

log:DeleteConsumerGroup

Supprime un groupe de consommateurs.

Écriture

log:DeleteDashboard

Supprime un tableau de bord.

Écriture

log:DeleteDomain

Supprime un nom de domaine personnalisé.

Écriture

log:DeleteDownloadJob

Supprime une tâche de téléchargement de journaux.

Écriture

log:DeleteElasticSearchIngestion

Supprime une tâche d'importation Elasticsearch.

Écriture

log:DeleteETL

Supprime une tâche de transformation de données.

Écriture

log:DeleteGCSIngestion

Supprime une tâche d'importation GCS.

Écriture

log:DeleteIndex

Supprime un index.

Écriture

log:DeleteKafkaIngestion

Supprime une tâche d'importation Kafka.

Écriture

log:DeleteLogStore

Supprime un Logstore.

Écriture

log:DeleteMachineGroup

Supprime un groupe de machines.

Écriture

log:DeleteMaxComputeExport

Supprime une tâche d'exportation de données vers MaxCompute.

Écriture

log:DeleteOSSExport

Supprime une tâche d'exportation de données vers OSS.

Écriture

log:DeleteOSSIngestion

Supprime une tâche d'importation OSS.

Écriture

log:DeleteProject

Supprime un Project.

Écriture

log:DeleteProjectPolicy

Supprime la politique d'autorisation du Project.

Écriture

log:DeleteS3Ingestion

Supprime une tâche d'importation S3.

Écriture

log:DeleteSavedSearch

Supprime une recherche enregistrée.

Écriture

log:DeleteScheduledSQL

Supprime une tâche SQL planifiée.

Écriture

log:DeleteStoreView

Supprime un ensemble de données.

Écriture

log:DisableAlert

Désactive une règle d'alerte.

Écriture

log:DisableScheduledSQL

Désactive une tâche SQL planifiée.

Écriture

log:EnableAlert

Active une règle d'alerte.

Écriture

log:EnableScheduledSQL

Active une tâche SQL planifiée.

Écriture

log:GetSqlInstance

Récupère une instance SQL dédiée.

Écriture

log:ListScheduledSQLs

Liste les tâches SQL planifiées.

Écriture

log:MergeShard

Fusionne des shards.

Écriture

log:PostLogStoreLogs

Écrit des journaux dans un Logstore.

Écriture

log:PutProjectPolicy

Crée ou met à jour la politique d'autorisation d'un Project.

Écriture

log:SplitShard

Divise un shard.

Écriture

log:StartAzureBlobIngestion

Démarre une tâche d'importation Azure Blob.

Écriture

log:StartElasticSearchIngestion

Démarre une tâche d'importation Elasticsearch.

Écriture

log:StartETL

Démarre une tâche de transformation de données.

Écriture

log:StartGCSIngestion

Démarre une tâche d'importation GCS.

Écriture

log:StartKafkaIngestion

Démarre une tâche d'importation Kafka.

Écriture

log:StartMaxComputeExport

Démarre une tâche d'exportation de données vers MaxCompute.

Écriture

log:StartOSSExport

Démarre une tâche d'exportation de données vers OSS.

Écriture

log:StartOSSIngestion

Démarre une tâche d'importation OSS.

Écriture

log:StartS3Ingestion

Démarre une tâche d'importation S3.

Écriture

log:StopAzureBlobIngestion

Arrête une tâche d'importation Azure Blob.

Écriture

log:StopDownloadJob

Annule une tâche de téléchargement de journaux.

Écriture

log:StopElasticSearchIngestion

Arrête une tâche d'importation Elasticsearch.

Écriture

log:StopETL

Arrête une tâche de transformation de données.

Écriture

log:StopGCSIngestion

Arrête une tâche d'importation GCS.

Écriture

log:StopKafkaIngestion

Arrête une tâche d'importation Kafka.

Écriture

log:StopMaxComputeExport

Arrête une tâche d'exportation de données vers MaxCompute.

Écriture

log:StopOSSExport

Arrête une tâche d'exportation de données vers OSS.

Écriture

log:StopOSSIngestion

Arrête une tâche d'importation OSS.

Écriture

log:StopS3Ingestion

Arrête une tâche d'importation S3.

Écriture

log:TagResources

Ajoute des tags aux ressources.

Écriture

log:UntagResources

Supprime les tags des ressources.

Écriture

log:UpdateAzureBlobIngestion

Met à jour une tâche d'importation Azure Blob.

Écriture

log:UpdateConfig

Met à jour une configuration Logtail.

Écriture

log:UpdateConsumerGroup

Met à jour un groupe de consommateurs.

Écriture

log:UpdateDashboard

Met à jour un tableau de bord.

Écriture

log:UpdateElasticSearchIngestion

Met à jour une tâche d'importation Elasticsearch.

Écriture

log:UpdateETL

Met à jour une tâche de transformation de données.

Écriture

log:UpdateGCSIngestion

Met à jour une tâche d'importation GCS.

Écriture

log:UpdateIndex

Met à jour un index.

Écriture

log:UpdateKafkaIngestion

Met à jour une tâche d'importation Kafka.

Écriture

log:UpdateLogging

Met à jour la configuration des journaux de service.

Écriture

log:UpdateLogStore

Met à jour un Logstore.

Écriture

log:UpdateLogStoreMeteringMode

Met à jour le mode de facturation d'un Logstore.

Écriture

log:UpdateLogtailPipelineConfig

Met à jour une configuration de pipeline Logtail.

Écriture

log:UpdateMachineGroup

Met à jour un groupe de machines.

Écriture

log:UpdateMachineGroupMachine

Met à jour la liste des machines d'un groupe de machines.

Écriture

log:UpdateMaxComputeExport

Met à jour une tâche d'exportation de données vers MaxCompute.

Écriture

log:UpdateOSSExport

Met à jour une tâche d'exportation de données vers OSS.

Écriture

log:UpdateOSSIngestion

Met à jour une tâche d'importation OSS.

Écriture

log:UpdateProject

Met à jour un Project.

Écriture

log:UpdateS3Ingestion

Met à jour une tâche d'importation S3.

Écriture

log:UpdateSavedSearch

Met à jour une recherche enregistrée.

Écriture

log:UpdateScheduledSQL

Met à jour une tâche SQL planifiée.

Écriture

log:UpdateSqlInstance

Met à jour une instance SQL dédiée.

Écriture

log:UpdateStoreView

Met à jour un ensemble de données.

Liste

log:ListAzureBlobIngestions

Liste les tâches d'importation Azure Blob.

Liste

log:ListConfig

Liste les configurations Logtail.

Liste

log:ListDashboard

Liste les tableaux de bord.

Liste

log:ListDownloadJobs

Liste les tâches de téléchargement de journaux.

Liste

log:ListElasticSearchIngestions

Liste les tâches d'importation Elasticsearch.

Liste

log:ListETLs

Liste les tâches de transformation de données.

Liste

log:ListGCSIngestions

Liste les tâches d'importation GCS.

Liste

log:ListKafkaIngestions

Liste les tâches d'importation Kafka.

Liste

log:ListMaxComputeExports

Liste les tâches d'exportation de données vers MaxCompute.

Liste

log:ListOSSExports

Liste les tâches d'exportation de données vers OSS.

Liste

log:ListOSSHDFSExports

Liste les tâches d'exportation OSS-HDFS.

Liste

log:ListOSSIngestions

Liste les tâches d'importation OSS.

Liste

log:ListS3Ingestions

Liste les tâches d'importation S3.

Liste

log:ListStoreViews

Liste les ensembles de données.

Scénarios et exemples de politiques personnalisées

Afficher la liste des projets

Accordez à un utilisateur RAM l'autorisation suivante :

Consultez la liste des projets.

La politique suivante accorde cette autorisation :

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": [
        "acs:log:*:*:project/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Autorisations en lecture seule pour un projet

Accordez à un utilisateur RAM les autorisations suivantes :

Consultez la liste des projets.
Accès en lecture seule à un projet spécifique.

Remarque

Les autorisations en lecture seule pour un projet n'incluent pas l'accès aux journaux. Vous devez également accorder des autorisations en lecture seule pour les Logstores du projet.

La politique suivante accorde ces autorisations :

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["log:ListProject"],
       "Resource": ["acs:log:*:*:project/*"],
       "Effect": "Allow"
      },
     {
       "Action": [
         "log:Get*",
         "log:List*"
       ],
       "Resource": "acs:log:*:*:project/<your-project-name>/*",
       "Effect": "Allow"
     }
   ]
 }

Autorisations pour les Logstores et les recherches enregistrées

Accordez à un utilisateur RAM les autorisations suivantes :

Consultez la liste des projets.
Autorisation en lecture seule pour un Logstore spécifié et autorisation de créer et de gérer des recherches enregistrées.

L'exemple de politique suivant accorde ces autorisations :

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": "acs:log:*:*:project/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/logstore/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/dashboard",
        "acs:log:*:*:project/<your-project-name>/dashboard/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*",
        "log:Create*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/savedsearch",
        "acs:log:*:*:project/<your-project-name>/savedsearch/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Accès en lecture seule à un Logstore spécifique, aux recherches enregistrées et aux tableaux de bord

Accordez à un utilisateur RAM les autorisations suivantes :

Consultez la liste de tous les projets.
Accès en lecture seule à un Logstore spécifique et accès en consultation à toutes les recherches enregistrées et à tous les tableaux de bord au sein du même projet.

La politique suivante accorde ces autorisations :

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": "acs:log:*:*:project/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/logstore/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/dashboard",
        "acs:log:*:*:project/<your-project-name>/dashboard/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/savedsearch",
        "acs:log:*:*:project/<your-project-name>/savedsearch/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Autorisations d'écriture pour un projet

Accorde à un utilisateur RAM un accès en écriture à un projet spécifié. N'inclut pas les autorisations de requête ou d'autres types d'autorisations.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:Post*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/*",
      "Effect": "Allow"
    }
  ]
}

Autorisations d'écriture pour un Logstore

Accorde à un utilisateur RAM un accès en écriture à un Logstore spécifié. N'inclut pas les autorisations de requête ou d'autres types d'autorisations.

{
  "Version":"1",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "log:PostLogStoreLogs"
      ],
      "Resource":[
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ]
    }
  ]
}

Autorisations de consommation pour un projet

Accorde à un utilisateur RAM un accès en consommation de données à un projet spécifié. N'inclut pas les autorisations d'écriture ou de requête.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListShards",
        "log:GetCursorOrData",
        "log:GetConsumerGroupCheckPoint",
        "log:UpdateConsumerGroup",
        "log:ConsumerGroupHeartBeat",
        "log:ConsumerGroupUpdateCheckPoint",
        "log:ListConsumerGroup",
        "log:CreateConsumerGroup"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/*",
      "Effect": "Allow"
    }
  ]
}

Autorisations de consommation de Logstore

Accorde à un utilisateur RAM un accès en consommation de données à un Logstore spécifié. N'inclut pas les autorisations d'écriture ou de requête.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListShards",
        "log:GetCursorOrData",
        "log:GetConsumerGroupCheckPoint",
        "log:UpdateConsumerGroup",
        "log:ConsumerGroupHeartBeat",
        "log:ConsumerGroupUpdateCheckPoint",
        "log:ListConsumerGroup",
        "log:CreateConsumerGroup"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>",
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Exigence de chiffrement du Logstore

Impose à un utilisateur RAM de spécifier une configuration de chiffrement lors de la création ou de la mise à jour d'un Logstore.

Remarque

Vous pouvez spécifier un nom exact de projet et de Logstore, ou utiliser un astérisque (*) comme caractère générique.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:CreateLogStore",
        "log:UpdateLogStore"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>",
        "acs:log:*:*:project/<your-project-name>/logstore/*"
      ],
      "Condition": {
        "Bool": {
          "log:Encrypted": "true"
        }
      }
    }
  ]
}

Autorisations pour les applications de journalisation

Accordez les autorisations suivantes pour utiliser ces applications ou fonctionnalités de journalisation :

Database Audit
Mobile O&M Monitoring
Flow Log Center
Log Analysis for AWS CloudTrail
SREWorks
General Host Audit
Intelligent Anomaly Analysis
Tableaux de bord personnalisés
Listes de lecture de tableaux de bord

Les politiques suivantes définissent les autorisations des applications de journalisation.

Autorisations en lecture seule

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:GetResource",
                "log:ListResources",
                "log:GetResourceRecord",
                "log:ListResourceRecords"
            ],
            "Resource": [
                "acs:log:*:*:resource/*"
            ]
        }
    ]
}

Autorisations de gestion

{
    "Version": "1",
    "Statement": [
          {
      "Effect": "Allow",
      "Action": [
        "log:*"
      ],
      "Resource": [
        "acs:log:*:*:resource/*"
      ]
    }
    ]
}