RAM ユーザーへのログ分析権限の付与 - Cloud Firewall - Alibaba Cloud ドキュメントセンター

デフォルトでは、RAM ユーザーには Cloud Firewall のログをクエリおよび分析する権限がありません。Simple Log Service (SLS) の広範な管理権限を付与することなく、RAM ユーザーにこの機能へのアクセスを許可するには、RAM コンソールでカスタムポリシーを作成し、そのユーザーにアタッチします。この方法により、ユーザーは最小権限の原則を遵守しながらログを分析できます。

前提条件

Cloud Firewall のログ分析機能が有効になっていること。詳細については、「ログ分析の概要」をご参照ください。
Cloud Firewall ログのプロジェクト名と Logstore 名がわかっていること。
ログ分析機能を有効にすると、Cloud Firewall は自動的に専用のプロジェクトと Logstore を作成します。Simple Log Service (SLS) コンソールにログインして、それらの名前を確認できます。
RAM ユーザーが作成されていること。詳細については、「RAM ユーザーの作成」をご参照ください。
AliyunYundunCloudFirewallReadOnlyAccess システムポリシーが RAM ユーザーにアタッチされていること。このポリシーは、Cloud Firewall の読み取り専用権限を付与します。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

説明

このトピックでは、RAM ユーザーに Cloud Firewall のログをクエリおよび分析する権限を付与する方法について説明します。SLS の完全な管理権限または読み取り専用権限を付与する必要がある場合は、AliyunLogFullAccess または AliyunLogReadOnlyAccess システムポリシーを RAM ユーザーに直接アタッチできます。

操作手順

Alibaba Cloud アカウントまたは RAM 管理者として RAM コンソールにログインします。

[JSON] タブでカスタムポリシーを作成します。

左側のナビゲーションウィンドウで、[権限] > [ポリシー] を選択します。
[ポリシー] ページで、[ポリシーの作成] をクリックします。次に、[JSON] タブをクリックします。

次のポリシー内容を入力します。

説明

ポリシー内で、${Project} を Cloud Firewall 専用のプロジェクト名に、${Logstore} を専用 Logstore の名前に置き換えてください。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "log:GetProject",
      "Resource": "acs:log:*:*:project/${Project}",
      "Effect": "Allow"
    },
    {
      "Action": "log:ListLogStores",
      "Resource": "acs:log:*:*:project/${Project}/logstore/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:GetIndex",
      "Resource": "acs:log:*:*:project/${Project}/logstore/cloudfirewall-logstore",
      "Effect": "Allow"
    },
    {
      "Action": "log:ListDashboard",
      "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:UpdateDashboard",
      "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:CreateDashboard",
      "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:UpdateDashboard",
      "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:CreateSavedSearch",
      "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:ListSavedSearch",
      "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:UpdateSavedSearch",
      "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
      "Effect": "Allow"
    },
    {
      "Action": "log:GetLogStore",
      "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
      "Effect": "Allow"
    },
    {
      "Action": "log:GetLogStoreLogs",
      "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
      "Effect": "Allow"
    }
  ]
}

ページの上部で [最適化] をクリックし、次に [実行] をクリックしてポリシーを最適化します。
高度な最適化機能は、次のタスクを実行します。
- 操作と互換性のないリソースまたは条件を分割します。
- リソースの範囲を絞り込みます。
- 重複するステートメントを削除するか、ステートメントをマージします。
[OK] をクリックします。

カスタムポリシーを RAM ユーザーにアタッチします。詳細については、「RAM ユーザーへの権限付与」をご参照ください。
ポリシーをアタッチすると、RAM ユーザーは Cloud Firewall のログをクエリおよび分析できますが、SLS で他の操作を実行することはできません。

Cloud Firewall:RAM ユーザーへのログ分析権限の付与

前提条件

操作手順

関連ドキュメント