Simple Log Service:Autorizar uma função do RAM a ler dados do Logstore

Autorizar a função padrão

Procedimento

1. Faça login no Alibaba Cloud Management Console com sua conta Alibaba Cloud ou um usuário do RAM.

2. Clique em Resource Access Authorization para concluir a autorização.

   Nota

   • Se a conta Alibaba Cloud não tiver a função padrão AliyunLogDefaultRole, o sistema a criará na primeira vez que o usuário do RAM clicar no link.

   • O Simple Log Service assume a função AliyunLogDefaultRole para acessar seus recursos em outros produtos cloud.

   • Para obter detalhes sobre a política de acesso da AliyunLogDefaultRole, consulte AliyunLogDefaultRole.

Autorizar uma função personalizada

Procedimento

A autorização de uma função do RAM permite que a tarefa de envio do MaxCompute use essa função para ler dados do Logstore.

1. Faça login no RAM console com sua conta Alibaba Cloud ou como administrador do RAM.

2. Crie uma função do RAM para ser assumida pelo service Alibaba Cloud. Para mais informações, consulte Create a RAM role for Alibaba Cloud services.

   Importante

   • Ao criar a função do RAM, defina Principal Type como Cloud Service e Principal Name como Simple Log Service.

   • Verifique a política de confiança da função do RAM. Certifique-se de que o elemento Service contenha pelo menos "log.aliyuncs.com".

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": [
               "log.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

3. Crie uma política personalizada para conceder permissões de leitura do Logstore.

   Conceda permissões por correspondência exata ou correspondência com curinga.

   Correspondência exata

   Importante

   Substitua Project name e Logstore name no documento de política conforme os requisitos do seu negócio.

   "Version":"1", "Statement":[ { "Action":[ "log:GetCursorOrData", "log:ListShards" ], "Resource":[ "acs:log:::project/your-project-name/logstore/your-Logstore-name" ], "Effect":"Allow" } ] }

   Correspondência com curinga

   Importante

   • Use correspondência com curinga para conceder permissões a vários projetos e Logstores simultaneamente, como projetos chamados log-project-dev-* e Logstores chamados website_*_log.

   • Substitua log-project-dev-* e website_*_log* na política pelos padrões de nome do seu projeto e Logstore.

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
               ],
               "Effect":"Allow"
           }
       ]
   }

4. Anexe a política personalizada criada à função do RAM. Para mais informações, consulte Gerencie permissions for a RAM role.