Simple Log Service RAM authentication rules and resources - Simple Log Service: Central de Documentação do Alibaba Cloud

Políticas de permissões

Uma política de permissões consiste em um conjunto de permissões descritas por uma estrutura sintática. Ela define com precisão os resources, as operações e as condições aos quais as permissões se aplicam. Para saber mais sobre os elementos e a sintaxe básicos compatíveis com o RAM, consulte Permission policy elements e Policy syntax and structure.

O RAM aceita os seguintes tipos de políticas de permissões:

Políticas do sistema gerenciadas pelo Alibaba Cloud: o Alibaba Cloud cria e mantém as versões dessas políticas. É possível utilizá-las, mas não é permitido modifique-as.
Políticas personalizadas gerenciadas por usuários: você pode crie, atualize e exclua essas políticas, além de gerencie suas versões.

Anexe políticas de permissões a identidades do RAM para conceder as permissões especificadas nelas. Para mais detalhes, consulte Manage permissions for a RAM user, Grant permissions to a RAM user group e Manage permissions for a RAM role.

Elementos básicos de uma política de acesso

Os conceitos e a sintaxe das políticas de acesso são abordados em Basic elements of an access policy.

Elemento	Descrição
Efeito	Indica se a instrução da política permite ou nega o acesso. Os valores válidos são: Allow: permite o acesso. Deny: nega o acesso.
Action/NotAction	Operação executada em um resource específico. Você deve especifique Action ou NotAction em uma instrução da política: Action: operação específica permitida ou negada. NotAction: operações isentas da política. Ao usar NotAction, todas as operações são permitidas ou negadas, exceto aquelas listadas.
Resource	Objeto ou objetos específicos aos quais a política se aplica.
Condition	Condições sob as quais a autorização entra em vigor.
Principal	Entidade à qual se permite ou nega o acesso a um resource. Esse elemento aplica-se apenas a políticas baseadas em resource, como a política de confiança de uma função do RAM.

Fluxo de autorização

Create an account administrator.

Uma conta do Alibaba Cloud (conta raiz) detém permissões irrestritas sobre todos os resources. Compartilhar essa conta impede trilhas de auditoria por usuário e gera um alto risco de segurança. Não utilize sua conta raiz em operações cotidianas.

Crie um usuário do RAM com permissões AdministratorAccess para atuar como administrador da conta. Use esse administrador para crie outros usuários do RAM com diferentes permissões.
Create a custom policy.

O RAM disponibiliza políticas do sistema (predefinidas pelo Alibaba Cloud e somente leitura) e políticas personalizadas. Crie políticas personalizadas quando as políticas do sistema não atenderem aos seus requisitos de autorização.
Crie e autorize um usuário ou função do RAM:
- Create and authorize a RAM user.
  
  Crie usuários do RAM e conceda a cada um apenas as permissões estritamente necessárias.
  
  Atribuir o privilégio mínimo a cada usuário evita o compartilhamento das credenciais da conta raiz e reduz os riscos de segurança.
- Create and authorize a RAM user group.
  
  Utilize grupos de usuários do RAM para classificar e autorize usuários com as mesmas responsabilidades, otimizando a gestão de permissões.
- Create and authorize a RAM role.
  
  Uma função do RAM é uma identidade virtual sem credenciais permanentes. Uma entidade confiável assume essa função e recebe credenciais temporárias na forma de token do Security Token service (STS) para acessar os resources autorizados. Assume a RAM role.

Action

O formato da ação é log:${API_Name}, em que ${API_Name} representa o nome de uma API do Simple Log service. Todas as APIs públicas constam em API overview.

Separe múltiplas ações com vírgulas (,) e utilize o asterisco (*) como caractere curinga. Por exemplo, em log:Create*, Create* corresponde a todos os nomes de API iniciados por Create, como CreateProduct, CreateThingModel e CreateProductTopic.

Importante

As APIs GetCursor e GetCursorTime referem-se à mesma ação: log:GetCursorOrData.

Resource

Os resources do Simple Log service seguem uma estrutura hierárquica. Um project atua como resource raiz. Os logstores, configs e machine groups são sub-resources no mesmo nível do project. Já shippers e consumer groups funcionam como sub-resources de um logstore.

Tipo de resource	Descrição do resource em uma política de autorização
Project	`acs:log:${regionName}:${uid}:project/${projectName}`
	`acs:log:${regionName}:${uid}:project/*`
Project:Logstore	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/*`
Project:Logstore:Shipper (descontinuado)	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/${shipperName}` (descontinuado)
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/shipper/*` (descontinuado)
Project:Config	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/${logtailConfigName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logtailconfig/*`
Project:MachineGroup	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/${machineGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/machinegroup/*`
Project:ConsumerGroup	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/${consumerGroupName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/logstore/${logstoreName}/consumergroup/*`
Project:SavedSearch	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/${savedSearchName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/savedsearch/*`
Project:Dashboard	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/${dashboardName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/dashboard/*`
Project:Alarm	`acs:log:${regionName}:${uid}:project/${projectName}/alert/${alarmName}`
	`acs:log:${regionName}:${uid}:project/${projectName}/alert/*`
Padrão geral	`acs:log:${regionName}:${uid}:*`
	`acs:log::${uid}:`

Descrições dos parâmetros

Nome do parâmetro	Descrição
`${regionName}`	Nome de uma região.
`${uid}`	ID de uma conta do Alibaba Cloud.
`${projectName}`	Nome do project.
`${logstoreName}`	Nome do logstore.
`${logtailconfig}`	Nome da configuração do Logtail.
`${machineGroupName}`	Nome do machine group.
`${shipperName}` (descontinuado)	Nome da regra do LogShipper.
`${consumerGroupName}`	Nome do consumer group.
`${savedSearchName}`	Nome da saved search.
`${dashboardName}`	Nome do dashboard.
`${alarmName}`	Nome da regra de alerta.