Créer, modifier, désactiver ou supprimer des règles d'audit de journal - Simple Log Service

Après avoir activé la collecte de journaux pour les services cloud dans le nouveau Log Audit Service, vous pouvez créer, modifier, désactiver et supprimer des règles de collecte dans le projet associé.

Procédure

Console

Accédez à la page des règles de collecte.
1. Connectez-vous à la console Simple Log Service. Dans la section Log Application, sous l'onglet Audit & Security, cliquez sur Log Audit Service (New Version).
2. Cliquez sur le nom du projet cible. Sous l'onglet Cloud service, cliquez sur la carte correspondant au service cloud concerné. Vous pouvez également accéder à l'onglet Rules et cliquer sur Create collection rule.
Create une règle de collecte, ou Modify, Disable ou Delete une règle existante.
Important
- Lorsque vous modifiez une règle de collecte, il est impossible de changer le type de journal ou le nom du service cloud, sous peine de provoquer une erreur.
- Il est possible de créer plusieurs règles de collecte pour différents types de journaux d'un même service cloud. Ces règles s'appliquent conjointement à une instance spécifique du service cloud. La collecte de journaux pour cette instance n'est désactivée que lorsque toutes ses règles de collecte sont désactivées ou supprimées.
- La désactivation ou la suppression d'une règle de collecte pour un service cloud interrompt la collecte uniquement pour les instances activées par cette règle spécifique. Cela n'affecte pas les instances pour lesquelles vous avez activé manuellement la collecte de journaux dans la console du service cloud ou via CloudLens.

API

Important

Lors de l'appel à une API, vous devez spécifier le point de terminaison du service pour la région China (Shanghai) ou Singapore.
La désactivation ou la suppression d'une règle de collecte pour un service cloud interrompt la collecte uniquement pour les instances activées par cette règle spécifique. Cela n'affecte pas les instances pour lesquelles vous avez activé manuellement la collecte de journaux dans la console du service cloud ou via CloudLens.
Il est possible de créer plusieurs règles de collecte pour différents types de journaux d'un même service cloud. Ces règles s'appliquent conjointement à une instance spécifique du service cloud. La collecte de journaux pour cette instance n'est désactivée que lorsque toutes ses règles de collecte sont désactivées ou supprimées.
Lorsque vous modifiez une règle de collecte, il est impossible de changer le type de journal ou le nom du service cloud, sous peine de provoquer une erreur.

Utilisez les opérations API suivantes pour gérer les règles de collecte du Log Audit Service :

Paramètres des règles de collecte

Paramètres de base

Parameter	Description
Nom de la règle	Nom de la règle de collecte. Il doit être globalement unique au sein d'un compte, comporter entre 3 et 63 caractères et commencer par une lettre.
Nom du service cloud	Pour plus d'informations, consultez la Référence de collecte de journaux pour les services cloud.
Type de journal	Pour plus d'informations, consultez la Référence de collecte de journaux pour les services cloud.
Mode de correspondance des ressources	All Resources (all) : collecte les journaux de toutes les instances du service cloud spécifié. Attribute Mode (attributeMode) : collecte les journaux des instances qui correspondent aux attributs spécifiés. Instance Mode (instanceMode) : collecte les journaux des instances dont les ID sont spécifiés.
Instances	Valide uniquement lorsque le paramètre Instance Mode est défini sur Instance Mode. Les journaux sont collectés uniquement pour les instances dont les ID figurent dans la liste spécifiée. Remarque Si aucune option n'est disponible dans la liste déroulante, vous pouvez saisir manuellement les ID d'instance. Après la création d'au moins une règle de collecte pour le service cloud, la liste déroulante se remplit automatiquement avec les noms d'instance existants.
Liste des régions, Tags de ressource	Ces paramètres sont valides uniquement lorsque le paramètre Attribute Mode est défini sur Attribute Mode. Les journaux sont collectés uniquement pour les instances qui correspondent aux régions et aux tags de ressource spécifiés. Si vous laissez vide le paramètre Region List ou Resource Tags, la condition de filtre correspondante est ignorée.
Région de stockage global des journaux	Disponible uniquement lorsque le type de journal est un type de journal global. Spécifie la région où le service collecte les journaux globaux lors de la configuration initiale. Pour différents types de journaux d'un même service cloud, nous vous recommandons d'utiliser la même région de stockage. Par exemple, stockez les journaux d'audit globaux, les journaux d'erreur globaux et les métriques de surveillance des performances de Simple Log Service dans un projet situé dans la région par défaut. La région de stockage global des journaux prend effet immédiatement après la configuration initiale. Important Nous vous déconseillons de modifier la région de stockage global des journaux. Pour la changer, vous devez d'abord supprimer toutes les règles de collecte pour le type de journal correspondant, y compris les règles par défaut créées par CloudLens et celles générées automatiquement lors de la création d'un nouveau projet. Pour en savoir plus sur les journaux globaux de Simple Log Service (SLS), consultez la rubrique Activer la fonctionnalité de collecte de journaux. Les journaux de facturation d'Object Storage Service (OSS) sont des journaux globaux. Pour plus d'informations, consultez la section Champs de journal.

Configuration du stockage centralisé

Le service utilise la transformation des données pour écrire les journaux dans un logstore de destination centralisé. Si vous acheminez les journaux depuis le logstore par défaut vers plusieurs destinations centralisées, assurez-vous que chaque logstore existe. Pour supprimer un logstore centralisé, retirez d'abord les règles de collecte associées afin d'éviter d'interrompre les opérations d'écriture vers d'autres logstores de destination.

Lors de la création d'un nouveau logstore, le modèle de nom par défaut est central-{productCode}-{dataCode}-{policyName}.

Parameter	Description
Projet de destination centralisé	Projet destiné à l'acheminement centralisé des journaux. Il est fixé au projet associé à la règle de collecte et ne peut pas être modifié.
Logstore de destination centralisé	Select Existing : sélectionnez un logstore existant dans le projet de destination. Create New : créez un nouveau logstore dans le projet de destination. La période de rétention des données par défaut est de 30 jours, avec une plage allant de 1 à 3 650 jours. Une période de rétention plus longue entraîne des coûts de stockage plus élevés. Pour savoir comment modifier la période de rétention des données d'un logstore, consultez la rubrique Gérer les logstores. Pour obtenir des suggestions sur la réduction des coûts de stockage des journaux, consultez la rubrique Comment réduire les coûts de stockage des journaux ?.
Période de rétention du stockage centralisé	Prend effet uniquement lors de la création d'un nouveau logstore. Initialise la période de rétention des données pour le nouveau logstore sans affecter les logstores existants.

Configuration multi-comptes

Utilisez Resource Directory pour mettre en place une structure multi-comptes. Seul un compte de gestion Resource Directory ou un administrateur délégué peut activer le mode multi-comptes.
1. Connectez-vous à la console Resource Management en tant que compte de gestion et activez un annuaire de ressources.
2. Créer un dossier.
3. Créez un membre ou invitez un compte Alibaba Cloud existant à rejoindre l'annuaire. Déplacez ensuite ces membres vers le dossier correspondant.
  
  Pour plus d'informations, consultez les rubriques Créer un membre, Inviter un compte Alibaba Cloud à rejoindre un annuaire de ressources et Déplacer un membre.
4. Ajouter un compte administrateur délégué.

Configurez le mode multi-comptes.

Mode multi-comptes	Description
All (all)	Collecte les journaux du service cloud spécifié depuis tous les comptes membres. Une règle de collecte configurée par un compte de gestion ou un administrateur délégué affecte tous les comptes membres de l'annuaire de ressources. Lorsqu'un nouveau compte est ajouté ou qu'un compte existant est modifié dans l'annuaire de ressources, le service crée ou modifie automatiquement la règle en conséquence.
Custom (custom)	Collecte les journaux du service cloud spécifié depuis les comptes membres sélectionnés. Une règle de collecte configurée par un compte de gestion ou un administrateur délégué n'affecte que les comptes membres spécifiés dans la configuration personnalisée. Les autres comptes membres ne sont pas concernés.

Codes d'erreur courants

Error code	Error message	Description
DeregisterDA.Deny.TrustedService	Forbidden, the current management account has configured unified access under the resource directory, please update or delete the unified access related configuration first.	Cette erreur se produit lorsque vous tentez de supprimer un annuaire de ressources, un service de confiance ou un administrateur délégué alors que des règles de collecte existent toujours sous le compte de l'administrateur délégué. Pour résoudre ce problème, procédez comme suit : Connectez-vous en tant que compte administrateur délégué et listez les règles de collecte pour les journaux de service cloud. En tant que compte administrateur délégué, supprimez toutes les règles intercomptes. Il s'agit des règles pour lesquelles le paramètre `resourceDirectory.accountGroupType` n'est pas vide. Connectez-vous en tant que compte de gestion et retournez à la console Resource Directory pour supprimer l'administrateur délégué.
NotMatch	productCode or dataCode are not match to current productCode or dataCode	Lors de la modification d'une règle, vous ne pouvez pas changer le code produit ni le code de données. Sinon, une erreur de non-correspondance se produit.
PolicyNotExist	the collection policy does not exist	La règle de collecte que vous tentez d'interroger ou de supprimer n'existe pas.
InvalidSLR	SLR not exist or created failed	Le rôle lié au service n'existe pas ou sa création a échoué. Lors de la création d'une règle dans Log Audit Service, le service crée automatiquement le rôle lié au service AliyunServiceRoleForSLSAudit dans le compte actuel et dans les comptes membres (si Resource Directory est activé).
InvalidRAM	RAM is not enough for execute this action, please check current account ram policy of this operation	L'utilisateur RAM ne dispose pas des autorisations requises pour effectuer des opérations dans Log Audit Service. Pour plus d'informations, consultez la rubrique Autoriser un utilisateur RAM à gérer Log Audit Service (nouvelle version).
InvalidProductData	Invalid Product Code or Data Code	Le code produit ou le code de données spécifié n'est pas valide.
InvalidProductData	Invalid Policy Name	Le nom de règle spécifié n'est pas valide.
InvalidPolicyConfig	Policy Config : resourceMode should be all/instanceMode/attributeMode	Le mode de correspondance des ressources doit être l'un des suivants : `all`, `instanceMode` ou `attributeMode`.
InvalidPolicyConfig	Policy Config : resourceMode should be all for lens global log type	Pour un type de journal global CloudLens, le mode de correspondance des ressources doit être défini sur `all`.
InvalidPolicyConfig	Policy Config : resourceMode should be attribute mode for security log type	Pour un type de journal de sécurité, le mode de correspondance des ressources doit être défini sur `attributeMode`.
InvalidPolicyConfig	Policy Config : you should set at least one center region for security log type	Pour un type de journal de sécurité, vous devez configurer au moins une région centrale principale.
InvalidPolicyConfig	Policy Config : this productCode and dataCode not allowed to config instance ids	Pour un type de journal de sécurité, vous ne pouvez pas configurer une liste d'instances.
InvalidConfig	Please check if the project/logstore belongs to you or the project/logstore in right region	Le projet ou le logstore spécifié pour le stockage centralisé n'appartient pas au compte actuel ou se trouve dans la mauvaise région.
InvalidConfig	policyCode and dataCode is required when you need to list policy by instanceId that meet the filter conditions	Lors de la recherche de règles correspondantes par ID d'instance, vous devez spécifier le code produit et le code de données.
InvalidCentralizeConfig	when centralizeEnabled, you should set at least one centralize config	Lorsque le stockage centralisé est activé, vous devez configurer les informations correspondantes du logstore centralisé.
InvalidCentralizeConfig	centralize config is necessary for security product log collection	Pour les types de journaux de sécurité, vous devez configurer le stockage centralisé.
InvalidCentralizeConfig	dest project, dest logstore, dest region, dest ttl should not be empty when centralize enabled	Lorsque le stockage centralisé est activé, le projet de destination, le logstore de destination et la période de rétention des données ne peuvent pas être vides.
InvalidCentralizeConfig	dest project invalid for centralize config	Le projet de destination pour le stockage centralisé n'est pas valide.
InvalidCentralizeConfig	dest logstore invalid for centralize config	Le logstore de destination pour le stockage centralisé n'est pas valide.
InvalidCentralizeConfig	dest region invalid for centralize config	La région de destination pour le stockage centralisé n'est pas valide.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : when you set resource directory, you should set account group type first	Lors de la configuration d'un annuaire de ressources, vous devez d'abord configurer le mode multi-comptes.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config: instance mode not allowed to set resource directory	Si vous activez les paramètres multi-comptes pour un annuaire de ressources, vous ne pouvez pas définir le mode de correspondance des ressources sur le mode instance.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : members should not be empty	Lorsque le mode multi-comptes est défini sur Custom, vous devez spécifier une liste de membres non vide.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : centralize config enabled is required for resource directory	Pour collecter les journaux de plusieurs comptes dans un annuaire de ressources, vous devez activer et configurer le stockage centralisé afin de spécifier une destination commune.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : the account resource directory not in use	L'annuaire de ressources n'est pas activé pour le compte actuel.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : the account is neither a delegated admin nor a master, just a member account	Le compte actuel est un compte membre, et non un compte de gestion ou un administrateur délégué ; il ne peut donc pas configurer le mode Annuaire de ressources dans la règle.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : custom members include invalid account	Lorsque le mode multi-comptes est défini sur Custom, la liste des comptes membres spécifiés contient un ID de compte non valide.
InvalidDataConfig	Policy DataConfig: the data region is not valid	La région de destination par défaut configurée pour le type de journal global n'est pas valide.
InvalidDataConfig	Policy DataConfig: this kind of product is not allowed to set data config	Cette configuration n'est pas autorisée car le produit ou le type de journal actuel n'est pas un type de journal global.
InvalidDataConfig	Policy DataConfig: the data region already exist in other policy, you cannot change	Pour les types de journaux globaux, une fois que vous avez configuré une région de destination par défaut, celle-ci prend effet immédiatement et ne peut plus être modifiée ultérieurement.

Documentation connexe

Pour utiliser un utilisateur RAM afin de gérer le nouveau Log Audit Service, vous devez lui accorder les autorisations requises via un compte Alibaba Cloud. Pour plus d'informations, consultez la rubrique Autoriser un utilisateur RAM à gérer Log Audit Service (nouvelle version).
Pour en savoir plus sur les types de journaux, les noms par défaut des projets et des logstores, ainsi que sur la facturation des services cloud, consultez la rubrique Référence de collecte de journaux pour les services cloud.
Pour collecter les journaux de services cloud depuis plusieurs comptes Alibaba Cloud, vous devez d'abord activer Resource Directory. Ensuite, en tant que compte de gestion ou administrateur délégué de l'annuaire de ressources, configurez les règles de collecte. Cela vous permet de collecter les journaux des comptes membres dans un projet spécifié. Pour plus d'informations, consultez la rubrique Référence de collecte de journaux pour les services cloud.