Aturan otentikasi RAM Layanan Log Sederhana dan sumber daya, Aturan otentikasi RAM Layanan Log Sederhana dan sumber daya - Simple Log Service

Layanan Log Sederhana mendukung otorisasi Pengguna Resource Access Management (RAM) dan peran, otentikasi berbasis tag, serta otorisasi lintas layanan melalui kebijakan akses. Referensi ini mencantumkan aksi dan sumber daya yang didukung untuk pengendalian izin detail halus.

Elemen dasar kebijakan akses

Konsep dan sintaksis kebijakan akses dijelaskan dalam Elemen dasar kebijakan akses.

Element	Description
Effect	Menentukan apakah pernyataan kebijakan mengizinkan atau menolak akses. Nilai yang valid adalah: Allow: Mengizinkan akses. Deny: Menolak akses.
Action/NotAction	Operasi yang dilakukan pada sumber daya tertentu. Anda harus menentukan Action atau NotAction dalam pernyataan kebijakan: Action: Operasi spesifik yang diizinkan atau ditolak. NotAction: Operasi yang dikecualikan dari kebijakan. Saat menggunakan NotAction, semua operasi diizinkan atau ditolak kecuali yang tercantum dalam daftar.
Resource	Objek spesifik atau objek-objek tempat kebijakan diterapkan.
Condition	Kondisi yang harus dipenuhi agar otorisasi berlaku.
Principal	Entitas yang diizinkan atau ditolak aksesnya ke suatu sumber daya. Elemen ini hanya berlaku untuk kebijakan berbasis sumber daya, seperti kebijakan kepercayaan (trust policy) suatu Peran RAM.

Alur otorisasi

Buat administrator akun.
Akun Alibaba Cloud (akun root) memiliki izin tanpa batas atas semua sumber daya. Berbagi akun tersebut menghambat pelacakan audit tingkat pengguna dan menimbulkan risiko keamanan tinggi. Jangan gunakan akun root untuk operasi sehari-hari.
Buat Pengguna RAM dengan izin AdministratorAccess untuk bertindak sebagai administrator akun. Gunakan administrator ini untuk membuat Pengguna RAM lain dengan izin yang sesuai.
Buat kebijakan kustom.
RAM menyediakan kebijakan sistem (ditentukan sebelumnya oleh Alibaba Cloud, read-only) dan kebijakan kustom. Buat kebijakan kustom jika kebijakan sistem tidak memenuhi kebutuhan otorisasi Anda.
Buat dan otorisasi Pengguna RAM atau Peran RAM:
- Buat dan otorisasi Pengguna RAM.
  Buat Pengguna RAM dan berikan masing-masing hanya izin yang diperlukan.
  Penerapan prinsip hak istimewa minimal bagi setiap pengguna menghindari berbagi kredensial akun root dan mengurangi risiko keamanan.
- Buat dan otorisasi Grup pengguna RAM.
  Gunakan Grup pengguna RAM untuk mengklasifikasikan dan memberikan otorisasi kepada Pengguna RAM dengan tanggung jawab yang sama guna pengelolaan izin yang lebih efisien.
- Buat dan otorisasi Peran RAM.
  Peran RAM adalah identitas virtual yang tidak memiliki kredensial permanen. Entitas tepercaya dapat mengasumsikan peran tersebut dan menerima kredensial sementara berupa token Security Token Service (STS) untuk mengakses sumber daya yang diotorisasi. Assume a RAM role.

Action

Format aksi adalah log:${API_Name}, di mana ${API_Name} adalah nama API Layanan Log Sederhana. Semua API publik tercantum dalam Ikhtisar API.

Pisahkan beberapa aksi dengan koma (,) dan gunakan tanda bintang (*) sebagai wildcard. Misalnya, dalam log:Create*, Create* cocok dengan semua nama API yang diawali dengan Create, seperti CreateProduct, CreateThingModel, dan CreateProductTopic.

Penting

API GetCursor dan GetCursorTime berkorespondensi dengan aksi yang sama: log:GetCursorOrData.

Resource

Sumber daya Layanan Log Sederhana bersifat hierarkis. Proyek merupakan sumber daya akar. Logstore, konfigurasi, dan kelompok mesin adalah sub-sumber daya sejajar dari suatu Proyek. Shipper dan kelompok konsumen adalah sub-sumber daya dari Logstore.

Resource type	Resource description in an authorization policy
Project	`acs:log:${regionName}:${uid}:project/${projectName}`
	`acs:log:${regionName}:${uid}:project/*`
Project:Logstore	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/*`
Project:Logstore:Shipper	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/${shipperName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/*`
Project:Config	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/${logtailConfigName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/*`
Project:MachineGroup	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/${machineGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/*`
Project:ConsumerGroup	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/${consumerGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/*`
Project:SavedSearch	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/${savedSearchName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/*`
Project:Dashboard	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/${dashboardName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/*`
Project:Alarm	`acs:log:${regionName}:${uid}:project/${projectName}/alert/${alarmName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/alert/*`
General pattern	`acs:log:${regionName}:${uid}:*`
	`acs:log::${uid}:`

Deskripsi parameter

Parameter name	Description
`${regionName}`	Nama wilayah.
`${uid}`	ID Akun Alibaba Cloud.
`${projectName}`	Nama Proyek.
`${logstoreName}`	Nama penyimpanan log.
`${logtailconfig}`	Nama Konfigurasi Logtail.
`${machineGroupName}`	Nama kelompok mesin.
`${shipperName}`	Nama aturan LogShipper.
`${consumerGroupName}`	Nama kelompok konsumen.
`${savedSearchName}`	Nama pencarian tersimpan.
`${dashboardName}`	Nama Dasbor.
`${alarmName}`	Nama aturan alert.