ActionTrail:イベント配信の権限ポリシーを管理する

シナリオ

• Log Service へのアクセス

  トレイルを作成し、イベントを格納する Log Service プロジェクトを指定する場合、ActionTrail は指定されたプロジェクトにログストアを作成し、イベントをログストアに書き込む必要があります。この場合、ActionTrail は Log Service にアクセスするための権限を取得する必要があります。

• Object Storage Service (OSS) へのアクセス

  トレイルを作成し、イベントを格納する OSS バケットを指定する場合、ActionTrail は指定された OSS バケットにイベントを書き込む必要があります。この場合、ActionTrail は OSS にアクセスするための権限を取得する必要があります。

• MaxCompute へのアクセス

  トレイルを作成し、イベントを格納する MaxCompute プロジェクトを指定する場合、ActionTrail は指定されたプロジェクトにイベントを書き込む必要があります。この場合、ActionTrail は MaxCompute にアクセスするための権限を取得する必要があります。

ポリシーの説明

ポリシー名: AliyunActionTrailDeliveryPolicy

ポリシーの内容:

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:PutObject",
                "oss:GetBucketInfo",
                "oss:GetBucketLifecycle",
                "oss:GetBucketLocation",
                "kms:ListKeys",
                "kms:Listalias",
                "kms:ListAliasesByKeyId",
                "kms:DescribeKey",
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "log:GetProject"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "log:PostLogStoreLogs",
                "log:CreateLogstore",
                "log:GetLogstore",
                "log:CreateIndex",
                "log:UpdateIndex",
                "log:GetIndex",
                "log:GetLogStoreLogs"
            ],
            "Resource": [
                "acs:log:*:*:project/*/logstore/actiontrail_*",
                "acs:log:*:*:project/*/logstore/insights_*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "log:CreateDashboard",
                "log:UpdateDashboard"
            ],
            "Resource": "acs:log:*:*:project/*/dashboard/*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "log:CreateSavedSearch",
                "log:UpdateSavedSearch"
            ],
            "Resource": [
                "acs:log:*:*:project/*/savedsearch/actiontrail_*",
                "acs:log:*:*:project/*/savedsearch/insights_*"
            ],
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": "odps:updateUsersToAdmin",
            "Resource": "acs:odps:*:*:projects/actiontrail_*"
        }
    ]
}

ポリシーの説明: この権限ポリシーにより、ActionTrail は Log Service と OSS のリソースにアクセスできます。次の表は、権限ポリシーで許可される操作を示しています。