Todos os produtos
Search

Este produto

    Simple Log Service:Acesso a dados entre contas com uma função personalizada

    Central de documentação

    Simple Log Service:Acesso a dados entre contas com uma função personalizada

    Última atualização: Sep 12, 2026

    Se o seu Simple Log Service estiver na Conta A do Alibaba Cloud e o seu Object Storage Service (OSS) estiver na Conta B do Alibaba Cloud, envie dados de um Logstore para o Simple Log Service. Conceda as permissões necessárias usando uma função do Simple Log Service.

    Etapa 1: Conceder permissões de leitura na Conta A

    Conceda permissões de leitura à função do RAM chamada role-a na Conta A. A tarefa de envio de dados assume essa função para ler os dados do Logstore.

    1. Faça login no console do RAM com a Conta A do Alibaba Cloud.

    2. Crie uma política personalizada para conceder permissões de leitura ao Logstore.

      Conceda as permissões por correspondência exata ou correspondência com curinga.

      Correspondência exata

      Importante

      Substitua Project name e Logstore name no documento da política conforme os requisitos do seu negócio.

      "Version":"1", "Statement":[ { "Action":[ "log:GetCursorOrData", "log:ListShards" ], "Resource":[ "acs:log:::project/your-project-name/logstore/your-Logstore-name" ], "Effect":"Allow" } ] }

      Correspondência com curinga

      Importante

      • Use correspondência com curinga para conceder permissões a vários projetos e Logstores simultaneamente, como projetos chamados log-project-dev-* e Logstores chamados website_*_log.

      • Substitua log-project-dev-* e website_*_log* na política pelos padrões de nome do seu projeto e Logstore.

      {
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "log:GetCursorOrData",
                "log:ListShards"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
            ],
            "Effect":"Allow"
        }
    ]
}

    3. Crie uma função do RAM chamada role-a. Para mais informações, consulte Crie uma função do RAM para um serviço confiável do Alibaba Cloud.

      Importante

      • Ao criar a função do RAM, defina Principal Type como Cloud Service e Principal Name como Simple Log Service.

      • Verifique a política de confiança da função do RAM. Certifique-se de que o elemento Service contenha pelo menos "log.aliyuncs.com".

        {
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "log.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

    4. Anexe a política personalizada criada à função do RAM role-a. Para mais informações, consulte Conceda permissões a uma função do RAM.

    Próximas etapas

    Obtenha o ARN (Alibaba Cloud Resource Name) da função do RAM. Para mais informações, consulte Visualize uma função do RAM.

    Ao crie uma tarefa de envio de dados do OSS, selecione Custom Role para Read Logstore RAM Role e insira esse ARN.

    Etapa 2: Conceder permissões de gravação na Conta B

    Conceda permissões de gravação à função do RAM chamada role-b na Conta B. A tarefa de envio de dados assume essa função para gravar no bucket do OSS.

    1. Faça login no console do RAM com a Conta B do Alibaba Cloud.

    2. Crie uma política personalizada para conceder permissões de gravação no bucket do OSS.

      {
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:PutObject"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

    3. Crie uma função do RAM chamada role-b. Para mais informações, consulte Crie uma função do RAM para um serviço confiável do Alibaba Cloud.

      Importante

      • Ao criar a função do RAM, defina Principal Type como Cloud Service e Principal Name como Simple Log Service.

      • Verifique a política de confiança da função do RAM. Certifique-se de que o elemento Service contenha pelo menos "log.aliyuncs.com".

        {
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "log.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

    4. Modifique a política de confiança da função do RAM role-b. Modifique a política de confiança de uma função do RAM.

      Importante

      No principal Service, adicione <ID of Alibaba Cloud Account A>@log.aliyuncs.com. Substitua <ID of Alibaba Cloud Account A> pelo ID da sua conta no Account Center.

      Essa política permite que o SLS na Conta A assuma esta função e acesse os recursos da Conta B.

      {
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "log.aliyuncs.com",
                    "@log.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}

    5. Anexe a política personalizada criada à função do RAM role-b. Para mais informações, consulte Conceda permissões a uma função do RAM.

    Próximas etapas

    Obtenha o ARN (Alibaba Cloud Resource Name) da função do RAM. Para mais informações, consulte Visualize uma função do RAM.

    Ao crie uma tarefa de envio de dados do OSS, selecione Custom Role para Write to OSS RAM Role e insira esse ARN.