Simple Log Service (SLS) utilise le rôle lié au service AliyunServiceRoleForSLSAudit pour lire les données des ressources et ajuster les paramètres de collecte des journaux dans d'autres services Alibaba Cloud. Cette rubrique décrit quand ce rôle est créé, quelles autorisations il accorde et comment le gérer.
Scénarios
Les applications SLS, telles que Log Audit Service et EBS Lens, collectent les journaux en appelant les opérations OpenAPI d'autres services cloud. Pour ce faire, SLS endosse le rôle AliyunServiceRoleForSLSAudit, qui lui accorde l'autorisation de lire les données des ressources et de modifier les paramètres de collecte des journaux sur ces services. Pour plus d'informations, consultez la section Rôles liés aux services.
Le rôle AliyunServiceRoleForSLSAudit
Le rôle AliyunServiceRoleForSLSAudit est créé automatiquement lorsque vous activez Simple Log Service. Si vous supprimez le rôle, il sera recréé lors de la prochaine activation de SLS ou de l'utilisation d'une application SLS qui en a besoin.
Nom du rôle : AliyunServiceRoleForSLSAudit
Politique d'accès : AliyunServiceRolePolicyForSLSAudit
-
Détails de la politique :
{ "Version": "1", "Statement": [ { "Action": [ "resourcemanager:ListAccounts", "resourcemanager:GetAccount", "resourcemanager:GetResourceDirectory", "resourcemanager:GetFolder", "resourcemanager:ListFoldersForParent", "resourcemanager:ListAccountsForParent", "rds:DescribeRegions", "rds:DescribeSqlLogInstances", "rds:DescribeDBInstanceAttribute", "rds:ListTagResources", "rds:DisableSqlLogDistribution", "rds:EnableSqlLogDistribution", "rds:ModifySQLCollectorPolicy", "rds:DescribeSQLCollectorRetention", "polardb:DescribeRegions", "polardb:DescribeDBClusters", "polardb:DescribeSqlLogClusters", "polardb:ModifyDBClusterAuditLogCollector", "polardb:DescribeDBClusterAttribute", "polardb:DescribeSQLExplorerRetention", "kvstore:DescribeRegions", "kvstore:DescribeInstances", "kvstore:DescribeRedisLogConfig", "kvstore:ModifyAuditLogConfig", "kvstore:DescribeInstanceAttribute", "kvstore:DescribeEngineVersion", "kvstore:InitializeKvstorePermission", "drds:DescribeDrdsInstances", "drds:DescribeDrdsDBs", "drds:EnableSqlAuditExtraWrite", "drds:DisableSqlAuditExtraWrite", "drds:DescribeDrdsRegions", "drds:DescribeDrdsSqlAuditStatus", "slb:DescribeRegions", "slb:DescribeLoadBalancers", "slb:DescribeLoadBalancerAttribute", "slb:SetAccessLogsDownloadAttribute", "slb:DeleteAccessLogsDownloadAttribute", "slb:DescribeAccessLogsDownloadAttribute", "slb:ListTagResources", "alb:DescribeRegions", "alb:ListLoadBalancers", "alb:EnableLoadBalancerAccessLog", "alb:DisableLoadBalancerAccessLog", "alb:GetLoadBalancerAttribute", "cs:GetClustersByUid", "cs:GetClusters", "kms:DescribeKeyStores", "oss:GetBucketInfo", "oss:ListBuckets", "oss:GetBucketTagging", "oss:GetBucketWorm", "oss:GetBucketLifecycle", "oss:GetBucketReferer", "ecs:DescribeDisks", "ecs:DescribeSnapshots", "ecs:DescribeRegions", "ecs:DescribeInstances", "mse:GetGateway", "cen:ListTransitRouters", "cen:ListTransitRouterPeerAttachments", "cen:ListTransitRouterVbrAttachments", "vpc:DescribeVpcs", "vpc:GetNatGatewayAttribute", "vpc:DescribeNatGateways", "vpc:DescribeRegions", "hbase:DescribeInstance", "lindorm:GetLindormInstance" ], "Resource": "*", "Effect": "Allow" }, { "Action": [ "oos:StartExecution", "oos:ListExecutions" ], "Resource": [ "acs:oos:*:*:template/ACS-LOG-BulkyInstallLogtail", "acs:oos:*:*:execution/*" ], "Effect": "Allow" }, { "Action": [ "ecs:InvokeCommand", "ecs:DescribeInvocations", "ecs:DescribeInvocationResults", "ecs:DescribeCloudAssistantStatus" ], "Resource": [ "acs:ecs:*:*:instance/*", "acs:ecs:*:*:command/cmd-ACS-LOG-InstallLogtail-*" ], "Effect": "Allow" }, { "Action": [ "log:CreateProject", "log:GetProject", "log:ListProject", "log:ListLogStores", "log:GetLogStore", "log:GetLogStoreLogs", "log:PostLogStoreLogs", "log:BatchPostLogStoreLogs", "log:CreateIndex", "log:UpdateIndex", "log:CreateDashboard", "log:UpdateDashboard", "log:CreateLogStore", "log:CreateSavedSearch", "log:UpdateSavedSearch", "log:CreateJob", "log:UpdateJob", "log:ListShards", "log:GetCursorOrData", "log:GetConsumerGroupCheckPoint", "log:UpdateConsumerGroup", "log:ConsumerGroupHeartBeat", "log:ConsumerGroupUpdateCheckPoint", "log:ListConsumerGroup", "log:CreateConsumerGroup", "log:GetLogging", "log:CreateLogging", "log:UpdateLogging", "log:DeleteLogging", "log:PostProjectQuery", "log:GetProjectQuery", "log:PutProjectQuery", "log:DeleteProjectQuery", "log:GetMachineGroup", "log:ListMachineGroup" ], "Resource": [ "acs:log:*:*:project/*" ], "Effect": "Allow" }, { "Action": [ "log:GetApp", "log:UpdateApp", "log:CreateApp" ], "Resource": [ "acs:log:*:*:app/audit" ], "Effect": "Allow" }, { "Action": "ram:CreateServiceLinkedRole", "Resource": "*", "Effect": "Allow", "Condition": { "StringEquals": { "ram:ServiceName": [ "r-kvstore.aliyuncs.com", "logdelivery.alb.aliyuncs.com" ] } } }, { "Action": "ram:DeleteServiceLinkedRole", "Resource": "*", "Effect": "Allow", "Condition": { "StringEquals": { "ram:ServiceName": "audit.log.aliyuncs.com" } } } ] }
Supprimer le rôle
Si vous n'avez plus besoin d'utiliser Log Audit Service ou EBS Lens, supprimez le rôle AliyunServiceRoleForSLSAudit afin de révoquer les autorisations accordées à SLS sur les autres services cloud.
Avant de supprimer le rôle, arrêtez toutes les tâches de collecte de journaux dans vos applications SLS qui en dépendent (telles que Log Audit Service et EBS Lens). La suppression du rôle alors que des tâches de collecte sont actives entraînera l'échec de ces tâches.
Pour supprimer le rôle, accédez à la console RAM, recherchez le rôle AliyunServiceRoleForSLSAudit et supprimez-le. Si vous devez utiliser à nouveau le rôle après sa suppression, activez Simple Log Service ou ouvrez une application SLS qui en a besoin ; SLS recréera automatiquement le rôle.
Accorder aux utilisateurs RAM l'autorisation de gérer le rôle
Par défaut, seul le propriétaire du compte Alibaba Cloud peut créer ou supprimer le rôle AliyunServiceRoleForSLSAudit. Pour permettre à un utilisateur RAM de gérer le rôle, associez une politique qui accorde les autorisations suivantes :
Pour autoriser un utilisateur RAM à créer le rôle, accordez l'autorisation
ram:CreateServiceLinkedRolepour le nom de serviceaudit.log.aliyuncs.com.Pour autoriser un utilisateur RAM à supprimer le rôle, accordez l'autorisation
ram:DeleteServiceLinkedRolepour le nom de serviceaudit.log.aliyuncs.com.
La politique d'exemple suivante accorde à un utilisateur RAM l'autorisation de créer et de supprimer le rôle :
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:CreateServiceLinkedRole",
"ram:DeleteServiceLinkedRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"ram:ServiceName": "audit.log.aliyuncs.com"
}
}
}
]
}