SLS RAM access control permissions - Simple Log Service: Central de Documentação do Alibaba Cloud

Use o Resource Access Management (RAM) para conceder diferentes permissões do SLS a usuários distintos. As seções a seguir listam as permissões necessárias para cada recurso do SLS.

Nota

Usuários do RAM: solicite a política necessária ao proprietário da conta Alibaba Cloud. Grant permissions to a RAM user.

Políticas de sistema

O SLS fornece as seguintes políticas de sistema. A Alibaba Cloud mantém essas políticas e não é possível modificá-las:

AliyunLogFullAccess: Concede acesso total ao SLS.
AliyunLogReadOnlyAccess: Concede acesso somente leitura ao SLS.

Políticas personalizadas

Para obter um controle de acesso refinado além das políticas de sistema, crie políticas personalizadas.

O SLS oferece o Assistente de Permissões para simplificar a criação de políticas personalizadas.

Obter uma política usando o Assistente de Permissões

Faça login no Simple Log Service console e clique em o projeto desejado na lista de projetos.
No painel de navegação à esquerda, escolha Other > Permission Assistant.

Na página Permission Assistant, configure os parâmetros abaixo e clique em Next.

Common Project: Inclui permissões para todos os módulos funcionais do SLS.

Parâmetro	Descrição
Selecione Scenario	Selecione um cenário predefinido ou personalize escolhendo módulos específicos. Cada módulo suporta permissão de gerenciamento ou somente leitura.
Resources	Aplique permissões a recursos específicos. Use um asterisco (``) como curinga para nomes de projetos e Logstores. Exemplo: Acessar todos os recursos do SLS: `"Action": "log:", "Resource": "",` Acessar apenas o projeto project01: `acs:log:::project/project01` `acs:log:::project/project01/` Acessar apenas o Logstore logstore01 no projeto project01: `acs:log:::project/project01/logstore/logstore01` `acs:log:::project/project01/logstore/logstore01/*`
Limits	Configure condições com base em policy elements.

Application: Inclui permissões para Cost Manager, Log Audit Service e K8s Event Center.

Parâmetro	Descrição
Applications	Selecione os aplicativos e defina cada um como Allow ou Deny.
Selecione Scenario	Ao definir a permissão de um aplicativo como Allow, os módulos relacionados são selecionados automaticamente. É possível personalizar a seleção. Cada módulo suporta permissão de gerenciamento ou somente leitura.
Resources	Os recursos são selecionados automaticamente com base no aplicativo e não podem ser modificados.
Limits	Configure condições com base em policy elements.

Visualize e copie a política e use-a para crie uma política personalizada.

A tabela a seguir lista as operações do SLS e suas respectivas permissões obrigatórias:

Tipo de operação	Ações	Descrição
Leitura	log:GetAlert	Obtém uma regra de alerta.
Leitura	log:GetAppliedConfigs	Obtém as configurações do Logtail aplicadas.
Leitura	log:GetAppliedMachineGroups	Obtém os grupos de máquinas associados a uma configuração do Logtail.
Leitura	log:GetConfig	Obtém uma configuração do Logtail.
Leitura	log:GetCursorOrData	Obtém um cursor por tempo.
Leitura	log:GetDashboard	Obtém um painel.
Leitura	log:GetDownloadJob	Obtém um trabalho de download de logs.
Leitura	log:GetETL	Obtém um trabalho de transformação de dados.
Leitura	log:GetIndex	Obtém um índice.
Leitura	log:GetLogging	Obtém a configuração de log de serviço.
Leitura	log:GetLogStore	Obtém um Logstore.
Leitura	log:GetLogStoreLogs	Obtém os logs de monitoramento de um Logstore.
Leitura	log:GetLogStoreMeteringMode	Obtém o modo de medição de um Logstore.
Leitura	log:GetLogtailPipelineConfig	Obtém uma configuração de pipeline do Logtail.
Leitura	log:GetMachineGroup	Obtém um grupo de máquinas.
Leitura	log:GetProject	Obtém um projeto.
Leitura	log:GetProjectPolicy	Obtém a política de autorização do projeto.
Leitura	log:GetSavedSearch	Obtém uma pesquisa salva.
Leitura	log:GetScheduledSQL	Obtém um trabalho SQL agendado.
Leitura	log:GetStoreView	Obtém um conjunto de dados.
Leitura	log:GetStoreViewIndex	Obtém a configuração de índice de um conjunto de dados.
Leitura	log:ListConsumerGroup	Lista grupos de consumidores.
Leitura	log:ListDomains	Lista nomes de domínio personalizados.
Leitura	log:ListLogStores	Lista Logstores.
Leitura	log:ListMachineGroup	Lista grupos de máquinas em um projeto.
Leitura	log:ListMachines	Lista as máquinas em um grupo de máquinas.
Leitura	log:ListProject	Lista projetos.
Leitura	log:ListSavedSearch	Lista pesquisas salvas.
Leitura	log:ListShards	Lista shards.
Leitura	log:ListTagResources	Lista tags em recursos.
Leitura	log:ListProjectsInRecycleBin	Lista projetos na lixeira.
Escrita	log::PutProjectTransferAcceleration	Configura a aceleração de transferência para um projeto.
Escrita	log:ChangeResourceGroup	Altera o grupo de recursos de um recurso.
Escrita	log:ConsumerGroupHeartBeat	Envia um heartbeat para um grupo de consumidores.
Escrita	log:ConsumerGroupUpdateCheckPoint	Atualiza um ponto de verificação de consumo.
Escrita	log:CreateConfig	Cria uma configuração do Logtail.
Escrita	log:CreateConsumerGroup	Cria um grupo de consumidores.
Escrita	log:CreateDashboard	Cria um painel.
Escrita	log:CreateDomain	Cria um nome de domínio personalizado.
Escrita	log:CreateDownloadJob	Cria um trabalho de download de logs.
Escrita	log:CreateETL	Cria um trabalho de transformação de dados.
Escrita	log:CreateIndex	Cria um índice.
Escrita	log:CreateLogging	Cria um log de serviço.
Escrita	log:CreateLogStore	Cria um Logstore.
Escrita	log:CreateLogtailPipelineConfig	Cria uma configuração de pipeline do Logtail.
Escrita	log:CreateMachineGroup	Cria um grupo de máquinas.
Escrita	log:CreateMetricStore	Cria um Metricstore.
Escrita	log:CreateProject	Cria um projeto.
Escrita	log:CreateSavedSearch	Cria uma pesquisa salva.
Escrita	log:CreateScheduledSQL	Cria um trabalho SQL agendado.
Escrita	log:CreateSqlInstance	Cria uma instância SQL dedicada.
Escrita	log:CreateStoreView	Cria um conjunto de dados.
Escrita	log:DeleteAlert	Exclui uma regra de alerta.
Escrita	log:DeleteConfig	Exclui uma configuração do Logtail.
Escrita	log:DeleteConsumerGroup	Exclui um grupo de consumidores.
Escrita	log:DeleteDashboard	Exclui um painel.
Escrita	log:DeleteDomain	Exclui um nome de domínio personalizado.
Escrita	log:DeleteDownloadJob	Exclui um trabalho de download de logs.
Escrita	log:DeleteETL	Exclui um trabalho de transformação de dados.
Escrita	log:DeleteIndex	Exclui um índice.
Escrita	log:DeleteLogStore	Exclui um Logstore.
Escrita	log:DeleteMachineGroup	Exclui um grupo de máquinas.
Escrita	log:DeleteProject	Exclui um projeto.
Escrita	log:DeleteProjectPolicy	Exclui a política de autorização do projeto.
Escrita	log:DeleteSavedSearch	Exclui uma pesquisa salva.
Escrita	log:DeleteScheduledSQL	Exclui um trabalho SQL agendado.
Escrita	log:DeleteStoreView	Exclui um conjunto de dados.
Escrita	log:DisableAlert	Desativa uma regra de alerta.
Escrita	log:DisableScheduledSQL	Desativa um trabalho SQL agendado.
Escrita	log:EnableAlert	Ativa uma regra de alerta.
Escrita	log:EnableScheduledSQL	Ativa um trabalho SQL agendado.
Escrita	log:GetSqlInstance	Obtém uma instância SQL dedicada.
Escrita	log:ListScheduledSQLs	Lista trabalhos SQL agendados.
Escrita	log:MergeShard	Mescla shards.
Escrita	log:PostLogStoreLogs	Grava logs em um Logstore.
Escrita	log:PutProjectPolicy	Cria ou atualiza uma política de autorização de projeto.
Escrita	log:SplitShard	Divide um shard.
Escrita	log:StartETL	Inicia um trabalho de transformação de dados.
Escrita	log:StopDownloadJob	Cancela um trabalho de download de logs.
Escrita	log:StopETL	Interrompe um trabalho de transformação de dados.
Escrita	log:TagResources	Adiciona tags aos recursos.
Escrita	log:UntagResources	Remove tags dos recursos.
Escrita	log:UpdateConfig	Atualiza uma configuração do Logtail.
Escrita	log:UpdateConsumerGroup	Atualiza um grupo de consumidores.
Escrita	log:UpdateDashboard	Atualiza um painel.
Escrita	log:UpdateETL	Atualiza um trabalho de transformação de dados.
Escrita	log:UpdateIndex	Atualiza um índice.
Escrita	log:UpdateLogging	Atualiza uma configuração de log de serviço.
Escrita	log:UpdateLogStore	Atualiza um Logstore.
Escrita	log:UpdateLogStoreMeteringMode	Atualiza o modo de medição de um Logstore.
Escrita	log:UpdateLogtailPipelineConfig	Atualiza uma configuração de pipeline do Logtail.
Escrita	log:UpdateMachineGroup	Atualiza um grupo de máquinas.
Escrita	log:UpdateMachineGroupMachine	Atualiza a lista de máquinas em um grupo de máquinas.
Escrita	log:UpdateProject	Atualiza um projeto.
Escrita	log:UpdateSavedSearch	Atualiza uma pesquisa salva.
Escrita	log:UpdateScheduledSQL	Atualiza um trabalho SQL agendado.
Escrita	log:UpdateSqlInstance	Atualiza uma instância SQL dedicada.
Escrita	log:UpdateStoreView	Atualiza um conjunto de dados.
Listagem	log:ListConfig	Lista configurações do Logtail.
Listagem	log:ListDashboard	Lista painéis.
Listagem	log:ListDownloadJobs	Lista trabalhos de download de logs.
Listagem	log:ListETLs	Lista trabalhos de transformação de dados.
Listagem	log:ListOSSExports	Lista trabalhos de envio de dados do OSS.
Listagem	log:ListOSSHDFSExports	Lista tarefas de envio do OSS-HDFS.
Listagem	log:ListOSSIngestions	Lista tarefas de importação do OSS.
Listagem	log:ListStoreViews	Lista conjuntos de dados.

Cenários e exemplos de políticas personalizadas

Visualize lista de projetos

Conceda a um usuário do RAM a seguinte permissão:

Visualize a lista de projetos.

A política a seguir concede essa permissão:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": [
        "acs:log:*:*:project/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Permissões de somente leitura de projeto

Conceda a um usuário do RAM as seguintes permissões:

Visualize a lista de projetos.
Acesso somente leitura a um projeto específico.

Nota

As permissões de somente leitura de projeto, isoladamente, não incluem acesso aos logs. Também é necessário conceder permissões de somente leitura para os Logstores do projeto.

A política a seguir concede essas permissões:

{
   "Version": "1",
   "Statement": [
     {
       "Action": ["log:ListProject"],
       "Resource": ["acs:log:*:*:project/*"],
       "Effect": "Allow"
      },
     {
       "Action": [
         "log:Get*",
         "log:List*"
       ],
       "Resource": "acs:log:*:*:project/<your-project-name>/*",
       "Effect": "Allow"
     }
   ]
 }

Permissões de Logstore e pesquisa salva

Conceda a um usuário do RAM as seguintes permissões:

Visualize a lista de projetos.
Permissão de somente leitura para um Logstore especificado e permissão para crie e gerencie pesquisas salvas.

A política de exemplo a seguir concede essas permissões:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": "acs:log:*:*:project/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/logstore/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/dashboard",
        "acs:log:*:*:project/<your-project-name>/dashboard/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*",
        "log:Create*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/savedsearch",
        "acs:log:*:*:project/<your-project-name>/savedsearch/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Acesso somente leitura a um Logstore específico, pesquisas salvas e painéis

Conceda a um usuário do RAM as seguintes permissões:

Visualize a lista de todos os projetos.
Acesso somente leitura a um Logstore específico e acesso de visualize a todas as pesquisas salvas e painéis dentro do mesmo projeto.

A política a seguir concede essas permissões:

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListProject"
      ],
      "Resource": "acs:log:*:*:project/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:List*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/logstore/*",
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/dashboard",
        "acs:log:*:*:project/<your-project-name>/dashboard/*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:Get*",
        "log:List*"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/savedsearch",
        "acs:log:*:*:project/<your-project-name>/savedsearch/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Permissões de escrita de projeto

Concede a um usuário do RAM acesso de escrita a um projeto especificado. Não inclui permissões de consulta ou outras.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:Post*"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/*",
      "Effect": "Allow"
    }
  ]
}

Permissões de escrita de Logstore

Concede a um usuário do RAM acesso de escrita a um Logstore especificado. Não inclui permissões de consulta ou outras.

{
  "Version":"1",
  "Statement":[
    {
      "Effect":"Allow",
      "Action":[
        "log:PostLogStoreLogs"
      ],
      "Resource":[
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>"
      ]
    }
  ]
}

Permissões de consumo de projeto

Concede a um usuário do RAM acesso de consumo de dados a um projeto especificado. Não inclui permissões de escrita ou consulta.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListShards",
        "log:GetCursorOrData",
        "log:GetConsumerGroupCheckPoint",
        "log:UpdateConsumerGroup",
        "log:ConsumerGroupHeartBeat",
        "log:ConsumerGroupUpdateCheckPoint",
        "log:ListConsumerGroup",
        "log:CreateConsumerGroup"
      ],
      "Resource": "acs:log:*:*:project/<your-project-name>/*",
      "Effect": "Allow"
    }
  ]
}

Permissões de consumo de Logstore

Concede a um usuário do RAM acesso de consumo de dados a um Logstore especificado. Não inclui permissões de escrita ou consulta.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:ListShards",
        "log:GetCursorOrData",
        "log:GetConsumerGroupCheckPoint",
        "log:UpdateConsumerGroup",
        "log:ConsumerGroupHeartBeat",
        "log:ConsumerGroupUpdateCheckPoint",
        "log:ListConsumerGroup",
        "log:CreateConsumerGroup"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>",
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>/*"
      ],
      "Effect": "Allow"
    }
  ]
}

Requisito de criptografia de Logstore

Exige que um usuário do RAM especifique uma configuração de criptografia ao criar ou atualizar um Logstore.

Nota

É possível especifique exatamente o nome do projeto e do Logstore ou usar um asterisco (*) como curinga.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "log:CreateLogStore",
        "log:UpdateLogStore"
      ],
      "Resource": [
        "acs:log:*:*:project/<your-project-name>/logstore/<your-logstore-name>",
        "acs:log:*:*:project/<your-project-name>/logstore/*"
      ],
      "Condition": {
        "Bool": {
          "log:Encrypted": "true"
        }
      }
    }
  ]
}

Permissões para aplicativos de log

Conceda as seguintes permissões para usar estes aplicativos ou recursos de log:

Database Audit
Mobile O&M Monitoring
Flow Log Center
Log Analysis for AWS CloudTrail
SREWorks
General Host Audit
Intelligent Anomaly Analysis
Painéis personalizados
Playlists de painéis

As políticas a seguir definem as permissões dos aplicativos de log.

Permissões de somente leitura

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "log:GetResource",
                "log:ListResources",
                "log:GetResourceRecord",
                "log:ListResourceRecords"
            ],
            "Resource": [
                "acs:log:*:*:resource/*"
            ]
        }
    ]
}

Permissões de gerenciamento

{
    "Version": "1",
    "Statement": [
          {
      "Effect": "Allow",
      "Action": [
        "log:*"
      ],
      "Resource": [
        "acs:log:*:*:resource/*"
      ]
    }
    ]
}