All Products
Search

This Product

    Simple Log Service:Akses data cross-account dengan peran kustom

    Document Center

    Simple Log Service:Akses data cross-account dengan peran kustom

    Last Updated:Sep 12, 2026

    Jika Simple Log Service Anda berada di Alibaba Cloud Account A dan Object Storage Service (OSS) Anda berada di Alibaba Cloud Account B, Anda dapat mengirimkan data dari Logstore ke Simple Log Service. Berikan izin yang diperlukan dengan menggunakan Simple Log Service.

    Langkah 1: Berikan izin baca di Account A

    Berikan izin baca kepada peran RAM bernama role-a di Account A. Tugas pengiriman data akan mengasumsikan peran ini untuk membaca data Logstore.

    1. Masuk ke Konsol RAM menggunakan Alibaba Cloud Account A.

    2. Buat kebijakan kustom untuk memberikan izin baca Logstore.

      Berikan izin dengan exact match atau wildcard match.

      Exact match

      Penting

      Ganti Project name dan Logstore name dalam isi kebijakan sesuai kebutuhan bisnis Anda.

      "Version":"1", "Statement":[ { "Action":[ "log:GetCursorOrData", "log:ListShards" ], "Resource":[ "acs:log:*:*:project/your-project-name/logstore/your-Logstore-name" ], "Effect":"Allow" } ] }

      Wildcard match

      Penting

      • Sebagai contoh, gunakan wildcard match untuk memberikan izin ke beberapa Proyek dan Logstore sekaligus, seperti Proyek bernama log-project-dev-* dan Logstore bernama website_*_log.

      • Ganti log-project-dev-* dan website_*_log* dalam kebijakan dengan pola nama Proyek dan Logstore Anda.

      {
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "log:GetCursorOrData",
                "log:ListShards"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
            ],
            "Effect":"Allow"
        }
    ]
}

    3. Buat peran RAM bernama role-a. Untuk informasi selengkapnya, lihat Buat peran RAM untuk layanan Alibaba Cloud tepercaya.

      Penting

      • Saat membuat peran RAM, atur Principal Type menjadi Cloud Service, dan Principal Name menjadi Simple Log Service.

      • Periksa kebijakan kepercayaan peran RAM tersebut. Pastikan elemen Service berisi setidaknya "log.aliyuncs.com". 

        {
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "log.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

    4. Lampirkan kebijakan kustom yang telah Anda buat ke peran RAM role-a. Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.

    Langkah berikutnya

    Dapatkan Nama Sumber Daya Alibaba Cloud (ARN) dari peran RAM tersebut. Untuk informasi selengkapnya, lihat Lihat peran RAM.

    Saat Anda membuat tugas pengiriman data OSS, pilih Custom Role untuk Read Logstore RAM Role dan masukkan ARN ini.

    Langkah 2: Berikan izin tulis di Account B

    Berikan izin tulis kepada peran RAM bernama role-b di Account B. Tugas pengiriman data akan mengasumsikan peran ini untuk menulis ke bucket OSS.

    1. Masuk ke Konsol RAM menggunakan Alibaba Cloud Account B.

    2. Buat kebijakan kustom untuk memberikan izin tulis bucket OSS.

      {
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:PutObject"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

    3. Buat peran RAM bernama role-b. Untuk informasi selengkapnya, lihat Buat peran RAM untuk layanan Alibaba Cloud tepercaya.

      Penting

      • Saat membuat peran RAM, atur Principal Type menjadi Cloud Service, dan Principal Name menjadi Simple Log Service.

      • Periksa kebijakan kepercayaan peran RAM tersebut. Pastikan elemen Service berisi setidaknya "log.aliyuncs.com". 

        {
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "log.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

    4. Ubah kebijakan kepercayaan peran RAM role-b. Ubah kebijakan kepercayaan peran RAM.

      Penting

      Pada principal Service, tambahkan <ID of Alibaba Cloud Account A>@log.aliyuncs.com. Ganti <ID of Alibaba Cloud Account A> dengan ID akun Anda dari Pusat Akun.

      Kebijakan ini memungkinkan SLS di Account A untuk mengasumsikan peran ini dan mengakses resource di Account B.

      {
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "log.aliyuncs.com",
                    "@log.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

    5. Lampirkan kebijakan kustom yang telah Anda buat ke peran RAM role-b. Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.

    Langkah berikutnya

    Dapatkan Nama Sumber Daya Alibaba Cloud (ARN) dari peran RAM tersebut. Untuk informasi selengkapnya, lihat Lihat peran RAM.

    Saat Anda membuat tugas pengiriman data OSS, pilih Custom Role untuk Write to OSS RAM Role dan masukkan ARN ini.