Simple Log Service:Autorizar um usuário do RAM a operar o CloudLens for RDS

Pré-requisitos

Crie um usuário do RAM. Para mais informações, consulte Criar um usuário do RAM.

Informações básicas

Você pode conceder permissões de operação no CloudLens for RDS a um usuário do RAM pelos métodos a seguir:

• Adicionar políticas do sistema: concede todas as permissões do Simple Log Service ao usuário do RAM. Não é possível modifique políticas do sistema nem configure parâmetros.

• Adicionar políticas personalizadas: permite crie políticas personalizadas e anexá-las ao usuário do RAM. Esse método possibilita controle de acesso granular, mas exige configurações complexas.

Política do sistema

Faça login no console do RAM com sua conta Alibaba Cloud ou um usuário do RAM com privilégios administrativos. Anexe a política AliyunLogFullAccess ao usuário do RAM para conceder todas as permissões no Simple Log Service. Para mais informações, consulte Gerencie permissões de usuários do RAM.

Política personalizada

1. Faça login no console do RAM com sua conta Alibaba Cloud ou um usuário do RAM com privilégios administrativos.

2. Crie uma política.

   Conceda permissões somente leitura ou de leitura e gravação no CloudLens for RDS ao usuário do RAM.

   Permissões somente leitura

   O usuário do RAM pode apenas visualize as páginas do CloudLens for RDS.

   Na página Create Policy, clique em na aba JSON Editor e substitua o conteúdo existente pelo script a seguir. Para mais informações, consulte Usar o editor de scripts.

   {
       "Statement": [
          {
               "Action": [
                   "rds:DescribeSqlLogInstances"
               ],
               "Resource": "*",
               "Effect": "Allow"
           },
           {
               "Action": [
                   "log:GetLogStore",
                   "log:ListLogStores",
                   "log:GetIndex",
                   "log:GetLogStoreHistogram",
                   "log:GetLogStoreLogs",
                   "log:GetDashboard",
                   "log:ListDashboard",
                   "log:ListSavedSearch",
                   "log:GetProjectLogs"
               ],
               "Resource": [
                   "acs:log:*:*:project/*/logstore/*",
                   "acs:log:*:*:project/*/dashboard/*",
                   "acs:log:*:*:project/*/savedsearch/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": "log:GetProductDataCollection",
               "Resource": [
                   "acs:log:*:*:project/*/logstore/*",
                   "acs:rds:*:*:dbinstance/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": "log:ListProject",
               "Resource": "acs:log:*:*:project/*",
               "Effect": "Allow"
           }
       ],
       "Version": "1"
   }

   Permissões de leitura e gravação

   O usuário do RAM pode executar todas as operações compatíveis com o CloudLens for RDS.

   Na página Create Policy, clique em na aba JSON e substitua o conteúdo existente pelo script a seguir. Para mais informações, consulte Usar o editor de scripts.

   {
       "Statement": [
           {
               "Action": [
                   "rds:DescribeSqlLogInstances",
                   "rds:DisableSqlLogDistribution",
                   "rds:EnableSqlLogDistribution",
                   "rds:ModifySQLCollectorPolicy"
               ],
               "Resource": "*",
               "Effect": "Allow"
           },
           {
               "Action": [
                   "log:GetLogStore",
                   "log:CreateProject",
                   "log:ListLogStores",
                   "log:GetIndex",
                   "log:GetLogStoreHistogram",
                   "log:GetLogStoreLogs",
                   "log:GetDashboard",
                   "log:ListDashboard",
                   "log:ListSavedSearch",
                   "log:CreateLogStore",
                   "log:CreateIndex",
                   "log:UpdateIndex",
                   "log:ListLogStores",
                   "log:GetLogStore",
                   "log:GetLogStoreLogs",
                   "log:CreateDashboard",
                   "log:CreateChart",
                   "log:UpdateDashboard",
                   "log:UpdateLogStore",
                   "log:GetProjectLogs"
               ],
               "Resource": [
                   "acs:log:*:*:project/*/"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "log:GetProductDataCollection",
                   "log:OpenProductDataCollection",
                   "log:CloseProductDataCollection"
               ],
               "Resource": [
                   "acs:log:*:*:project/*/logstore/*",
                   "acs:rds:*:*:dbinstance/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "log:SetGeneralDataAccessConfig"
               ],
               "Resource": [
                   "acs:log:*:*:resource/sls.general_data_access.rds.global_conf.*/record"
               ],
               "Effect": "Allow"
           },
           {
               "Action": "ram:CreateServiceLinkedRole",
               "Resource": "*",
               "Effect": "Allow",
               "Condition": {
                   "StringEquals": {
                       "ram:ServiceName": "audit.log.aliyuncs.com",
                       "ram:ServiceName": "rds.aliyuncs.com"
                   }
               }
           },
           {
               "Action": "log:ListProject",
               "Resource": "acs:log:*:*:project/*",
               "Effect": "Allow"
           }
       ],
       "Version": "1"
   }

3. Anexe a política personalizada criada ao usuário do RAM. Para mais informações, consulte Gerencie permissões de usuários do RAM.