Sebelum Scheduled SQL task dapat dijalankan, tiga lapisan izin harus diterapkan: izin manajemen untuk mengontrol siklus hidup task, izin analisis SQL untuk melakukan kueri terhadap Logstore atau Metricstore sumber, serta izin menulis data untuk menyimpan hasil ke destinasi.
Izin manajemen pada Scheduled SQL task
Izin manajemen mengontrol siapa yang dapat membuat, mengubah, menghapus, dan melihat Scheduled SQL task.
Gunakan RAM user alih-alih Akun Alibaba Cloud untuk mengelola Scheduled SQL task. Membatasi akses melalui Resource Access Management (RAM) mengurangi dampak jika kredensial dikompromikan.
Akun Alibaba Cloud: Akun Alibaba Cloud memiliki izin manajemen penuh atas Simple Log Service melalui kebijakan AliyunLogFullAccess. Tidak diperlukan pemberian izin tambahan.
RAM user: Pengguna Resource Access Management (RAM) memerlukan pemberian izin eksplisit sebelum dapat mengelola Scheduled SQL task. Lihat Berikan izin kepada RAM user untuk mengelola Scheduled SQL task.
Izin analisis SQL yang diperlukan oleh Scheduled SQL task
Untuk menjalankan analisis SQL terhadap Logstore atau Metricstore sumber, Scheduled SQL task mengasumsikan suatu RAM role. Peran bawaan AliyunLogETLRole telah mencakup izin yang diperlukan. Untuk kontrol akses yang lebih ketat, buat peran kustom dan berikan hanya izin yang dibutuhkan.
Peran default: Peran default AliyunLogETLRole mencakup izin analisis SQL untuk Logstore dan Metricstore sumber. Otorisasi task untuk mengasumsikan peran ini. Lihat Konfigurasi peran default.
Peran kustom: Buat RAM role, berikan izin analisis SQL untuk Logstore sumber, lalu otorisasi task untuk mengasumsikan peran tersebut. Lihat Langkah 1: Berikan izin kepada RAM role untuk menganalisis data log di Logstore sumber.
Izin menulis data yang diperlukan oleh Scheduled SQL task
Untuk menyimpan hasil analisis SQL ke Logstore atau Metricstore tujuan, Scheduled SQL task mengasumsikan RAM role dengan izin menulis. Peran default AliyunLogETLRole telah memenuhi kebutuhan ini. Untuk kontrol yang lebih granular, gunakan peran kustom.
Peran default: Peran default AliyunLogETLRole mencakup izin menulis untuk Logstore dan Metricstore tujuan. Otorisasi task untuk mengasumsikan peran ini. Lihat Konfigurasi peran default.
Peran kustom: Buat RAM role, berikan izin menulis untuk Logstore atau Metricstore tujuan, lalu otorisasi task untuk mengasumsikan peran tersebut. Lihat Langkah 2: Berikan izin kepada RAM role untuk menulis data ke Logstore tujuan.