Cloud Firewall:RAM ユーザーへの Cloud Firewall ログのクエリおよび分析権限の付与

ステップ 1：カスタムポリシーの作成

1. Alibaba Cloud アカウントまたは管理権限を持つ RAM ユーザーとして、RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、権限 ＞ ポリシー を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックし、次に [JSON] タブをクリックします。

4. 以下のポリシーコンテンツをコピーし、コードエディタに貼り付けます。

   ${Project} と ${Logstore} を、Cloud Firewall 専用の SLS プロジェクトと Logstore の名前に置き換えます。

   このポリシーは、プロジェクトアクセス、ログクエリ用 Logstore アクセス、ダッシュボードアクセス、クイック検索アクセスという 4 つの権限グループを付与します。各ステートメントグループには、明確にするために Sid がラベル付けされています。

   {
     "Version": "1",
     "Statement": [
       {
         "Sid": "ProjectAccess",
         "Action": "log:GetProject",
         "Resource": "acs:log:*:*:project/${Project}",
         "Effect": "Allow"
       },
       {
         "Sid": "LogstoreList",
         "Action": "log:ListLogStores",
         "Resource": "acs:log:*:*:project/${Project}/logstore/*",
         "Effect": "Allow"
       },
       {
         "Sid": "LogstoreIndexAccess",
         "Action": "log:GetIndex",
         "Resource": "acs:log:*:*:project/${Project}/logstore/cloudfirewall-logstore",
         "Effect": "Allow"
       },
       {
         "Sid": "DashboardAccess",
         "Action": "log:ListDashboard",
         "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
         "Effect": "Allow"
       },
       {
         "Sid": "DashboardWrite",
         "Action": "log:UpdateDashboard",
         "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
         "Effect": "Allow"
       },
       {
         "Sid": "DashboardCreate",
         "Action": "log:CreateDashboard",
         "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
         "Effect": "Allow"
       },
       {
         "Sid": "SavedSearchWrite",
         "Action": "log:CreateSavedSearch",
         "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
         "Effect": "Allow"
       },
       {
         "Sid": "SavedSearchList",
         "Action": "log:ListSavedSearch",
         "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
         "Effect": "Allow"
       },
       {
         "Sid": "SavedSearchUpdate",
         "Action": "log:UpdateSavedSearch",
         "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
         "Effect": "Allow"
       },
       {
         "Sid": "LogstoreRead",
         "Action": "log:GetLogStore",
         "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
         "Effect": "Allow"
       },
       {
         "Sid": "LogstoreQuery",
         "Action": "log:GetLogStoreLogs",
         "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
         "Effect": "Allow"
       }
     ]
   }

5. エディターの上部にある[オプティマイズ]をクリックします。 オプティマイズ メッセージで、[実行]をクリックします。

   システムは以下の操作を実行します。

   • アクションと互換性のないリソースまたは条件を分割します。

   • リソースを絞り込みます。

   • ポリシー文の重複排除またはマージを行います。

6. 「ポリシーの作成」ページで、[OK] をクリックします。

7. [ポリシーの作成] ダイアログボックスで、[名前] と [説明] パラメーターを設定し、[OK] をクリックします。

ステップ 2：RAM ユーザーへのポリシーのアタッチ

カスタムポリシーを RAM ユーザーにアタッチします。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

RAM ユーザーは Cloud Firewall のログをクエリおよび分析できるようになりますが、その他の SLS 機能にはアクセスできません。