Cloud Firewall:Grant a RAM user log analysis permissions

Pré-requisitos

• O recurso de análise de logs do Cloud Firewall está ativado. Para mais informações, consulte {{XREF_0}}.

• Você tem os nomes do projeto e do logstore dos seus logs do Cloud Firewall.

  Após ativar o recurso de análise de logs, o Cloud Firewall cria automaticamente um projeto e um logstore dedicados. Acesse o console do Simple Log Service (SLS) e visualize seus nomes.

• Você criou um usuário do RAM. Para mais informações, consulte {{XREF_1}}.

• Você anexou a política de sistema AliyunYundunCloudFirewallReadOnlyAccess ao usuário do RAM. Essa política concede permissões de somente leitura para o Cloud Firewall. Para mais informações, consulte {{XREF_2}}.

Procedimento

1. Faça login no console do RAM usando sua conta Alibaba Cloud ou como administrador do RAM.

2. Crie uma política personalizada na aba JSON.

   1. No painel de navegação à esquerda, escolha Permissions > Policies.

   2. Na página Policies, clique em Create Policy. Em seguida, clique na aba JSON.

   3. Insira o seguinte conteúdo da política.

      Nota

      Na política, substitua ${Project} pelo nome do projeto dedicado ao Cloud Firewall e ${Logstore} pelo nome do logstore dedicado.

      {
        "Version": "1",
        "Statement": [
          {
            "Action": "log:GetProject",
            "Resource": "acs:log:*:*:project/${Project}",
            "Effect": "Allow"
          },
          {
            "Action": "log:ListLogStores",
            "Resource": "acs:log:*:*:project/${Project}/logstore/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:GetIndex",
            "Resource": "acs:log:*:*:project/${Project}/logstore/cloudfirewall-logstore",
            "Effect": "Allow"
          },
          {
            "Action": "log:ListDashboard",
            "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:UpdateDashboard",
            "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:CreateDashboard",
            "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:UpdateDashboard",
            "Resource": "acs:log:*:*:project/${Project}/dashboard/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:CreateSavedSearch",
            "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:ListSavedSearch",
            "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:UpdateSavedSearch",
            "Resource": "acs:log:*:*:project/${Project}/savedsearch/*",
            "Effect": "Allow"
          },
          {
            "Action": "log:GetLogStore",
            "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
            "Effect": "Allow"
          },
          {
            "Action": "log:GetLogStoreLogs",
            "Resource": "acs:log:*:*:project/${Project}/logstore/${Logstore}",
            "Effect": "Allow"
          }
        ]
      }

   4. Na parte superior da página, clique em Optimize e, em seguida, clique em Perform para otimizar a política.

      O recurso de otimização avançada executa as seguintes tarefas:

      • Divide recursos ou condições incompatíveis com as ações.

      • Reduz o escopo dos recursos.

      • Remove instruções duplicadas ou mescla instruções.

   5. Na página Create Policy, clique em OK.

   6. Na caixa de diálogo Create Policy, insira um Policy Name e uma Description e, em seguida, clique em OK.

3. Anexe a política personalizada ao usuário do RAM. Para mais informações, consulte {{XREF_3}}.

   Após anexar a política, o usuário do RAM poderá consultar e analisar logs do Cloud Firewall, mas não poderá executar outras operações no Simple Log Service (SLS).

Documentação relacionada

Você pode consultar e analisar os logs coletados em tempo real para identificar anomalias de tráfego e proteger seus ativos. Para mais informações sobre como consultar logs, consulte {{XREF_4}}.