创建、修改、禁用或删除日志审计规则 - Simple Log Service: Central de Documentação do Alibaba Cloud

Após ativar a coleta de logs para services cloud no novo Log Audit Service, crie, modifique, desative e exclua regras de coleta no projeto associado.

Procedimento

Console

Acesse a página de regras de coleta.
1. Faça logon no console do Simple Log Service. Na seção Log Application, na aba Audit & Security, clique em Log Audit Service (New Version).
2. Clique em no nome do projeto desejado. Na aba Cloud service, clique em no cartão correspondente ao service cloud. Alternativamente, na aba Rules, clique em Create collection rule.
Create uma regra de coleta, ou Modify, Disable ou Delete uma regra existente.
Importante
- Ao modificar uma regra de coleta, não altere o tipo de log ou o nome do service cloud. Caso contrário, ocorrerá um erro.
- Crie várias regras de coleta para diferentes tipos de log de um mesmo service cloud. Essas regras se aplicam em conjunto a uma instância específica do service cloud. A coleta de logs da instância só é interrompida após a desativação ou exclusão de todas as suas regras de coleta.
- Desativar ou excluir uma regra de coleta de service cloud interrompe a coleta de logs apenas nas instâncias habilitadas por essa regra específica. Isso não afeta as instâncias em que a coleta de logs foi ativada manualmente no console do service cloud ou por meio do CloudLens.

API

Importante

Ao chamar uma API, especifique o endpoint de service da região China (Shanghai) ou Singapore.
Desativar ou excluir uma regra de coleta de service cloud interrompe a coleta de logs apenas nas instâncias habilitadas por essa regra específica. Isso não afeta as instâncias em que a coleta de logs foi ativada manualmente no console do service cloud ou por meio do CloudLens.
Crie várias regras de coleta para diferentes tipos de log de um mesmo service cloud. Essas regras se aplicam em conjunto a uma instância específica do service cloud. A coleta de logs da instância só é interrompida após a desativação ou exclusão de todas as suas regras de coleta.
Ao modificar uma regra de coleta, não altere o tipo de log ou o nome do service cloud. Caso contrário, ocorrerá um erro.

Utilize as seguintes operações de API para gerenciar as regras de coleta do Log Audit Service:

Parâmetros da regra de coleta

Parâmetros básicos

Parâmetro	Descrição
Nome da regra	Nome da regra de coleta. Deve ser globalmente único dentro de uma conta, ter entre 3 e 63 caracteres e começar com uma letra.
Nome do service cloud	Para mais informações, consulte Log collection reference for cloud services.
Tipo de log	Para mais informações, consulte Log collection reference for cloud services.
Modo de correspondência de recursos	All Resources (all): Coleta logs de todas as instâncias do service cloud especificado. Attribute Mode (attributeMode): Coleta logs das instâncias que correspondem aos atributos especificados. Instance Mode (instanceMode): Coleta logs das instâncias com os IDs de instância especificados.
Instâncias	Válido apenas quando o Instance Mode está definido como Instance Mode. Os logs são coletados apenas das instâncias cujos IDs constam na lista especificada. Nota Se não houver opções disponíveis na lista suspensa, insira manualmente os IDs das instâncias. Após criar pelo menos uma regra de coleta para o service cloud, a lista suspensa será preenchida automaticamente com os nomes das instâncias existentes.
Lista de regiões, Tags de recurso	Estes parâmetros são válidos apenas quando o Attribute Mode está definido como Attribute Mode. Os logs são coletados apenas das instâncias que correspondem às regiões e tags de recurso especificadas. Se o parâmetro Region List ou Resource Tags for deixado vazio, a condição de filtro correspondente será ignorada.
Região de armazenamento global de logs	Disponível apenas quando o tipo de log é um tipo de log global. Especifica a região onde o service coleta logs globais durante a configuração inicial. Para diferentes tipos de log do mesmo service cloud, recomenda-se usar a mesma região de armazenamento. Por exemplo, armazene os logs de auditoria global, logs de erro global e métricas de monitoramento de desempenho do Simple Log Service em um projeto dentro da região padrão. A região de armazenamento global de logs entra em vigor imediatamente após a configuração inicial. Importante Recomenda-se não modificar a região de armazenamento global de logs. Para alterá-la, exclua primeiro todas as regras de coleta para o tipo de log correspondente, incluindo as regras padrão criadas pelo CloudLens e as regras criadas automaticamente ao criar um novo projeto. Para informações sobre os logs globais do Simple Log Service (SLS), consulte Enable the log collection feature. Os logs de medição do Object Storage Service (OSS) são logs globais. Para mais informações, consulte Log fields.

Configuração de armazenamento centralizado

O service utiliza transformação de dados para gravar logs em um logstore de destino centralizado. Se você entregar logs do logstore padrão para múltiplos destinos centralizados, certifique-se de que cada logstore exista. Para excluir um logstore centralizado, remova primeiro as regras de coleta relacionadas para evitar interrupções nas operações de gravação em outros logstores de destino.

Ao criar um novo logstore, o modelo de nome padrão é central-{productCode}-{dataCode}-{policyName}.

Parâmetro	Descrição
Projeto de destino centralizado	Projeto para envio centralizado de logs. Fixo no projeto associado à regra de coleta e não pode ser modificado.
Logstore de destino centralizado	Select Existing: Selecione um logstore existente no projeto de destino. Create New: Crie um novo logstore no projeto de destino. O período de retenção de dados padrão é de 30 dias, variando de 1 a 3.650 dias. Um período de retenção maior gera custos de armazenamento mais elevados. Para informações sobre como alterar o período de retenção de dados de um logstore, consulte Manage logstores. Para sugestões sobre redução de custos de armazenamento de logs, consulte How do I reduce log storage costs?.
Período de retenção de armazenamento centralizado	Tem efeito apenas ao criar um novo logstore. Inicializa o período de retenção de dados para o novo logstore e não afeta os logstores existentes.

Configuração multiconta

Use o Resource Directory para configurar uma estrutura multiconta. Apenas uma conta de gerenciamento do Resource Directory ou administrador delegado pode ativar o modo multiconta.
1. Faça logon no console do Resource Management com a conta de gerenciamento e enable a resource directory.
2. Create a folder.
3. Crie um membro ou convide uma conta Alibaba Cloud existente para participar. Em seguida, mova esses membros para a pasta correspondente.
  
  Para mais informações, consulte Create a member, Invite an Alibaba Cloud account to join a resource directory e Move a member.
4. Add a delegated administrator account.

Configure o modo multiconta.

Modo multiconta	Descrição
All (all)	Coleta logs do service cloud especificado de todas as contas membro. Uma regra de coleta configurada por uma conta de gerenciamento ou administrador delegado afeta todas as contas membro no Resource Directory. Quando uma nova conta é adicionada ou uma conta existente é alterada no Resource Directory, o service cria ou modifica a regra automaticamente.
Custom (custom)	Coleta logs do service cloud especificado das contas membro selecionadas. Uma regra de coleta configurada por uma conta de gerenciamento ou administrador delegado afeta apenas as contas membro especificadas na configuração personalizada. As demais contas membro não são afetadas.

Códigos de erro comuns

Código de erro	Mensagem de erro	Descrição
DeregisterDA.Deny.TrustedService	Forbidden, the current management account has configured unified access under the resource directory, please update or delete the unified access related configuration first.	Este erro ocorre ao tentar remover um Resource Directory, service confiável ou administrador delegado enquanto ainda existem regras de coleta sob a conta do administrador delegado. Para resolver esse problema, execute as seguintes etapas: Faça logon com a conta de administrador delegado e list the collection rules for cloud service logs. Como conta de administrador delegado, delete all cross-account rules. Trata-se de regras em que o parâmetro `resourceDirectory.accountGroupType` não está vazio. Faça logon com a conta de gerenciamento e retorne ao console do Resource Directory para remover o administrador delegado.
NotMatch	productCode or dataCode are not match to current productCode or dataCode	Ao modificar uma regra, não altere o código do product e o código dos dados. Caso contrário, ocorrerá um erro de incompatibilidade.
PolicyNotExist	the collection policy does not exist	A regra de coleta que você está tentando consultar ou excluir não existe.
InvalidSLR	SLR not exist or created failed	A função vinculada ao service não existe ou falhou ao ser criada. Ao criar uma regra no Log Audit Service, o service cria automaticamente a AliyunServiceRoleForSLSAudit service-linked role na conta atual e nas contas membro (se o Resource Directory estiver ativado).
InvalidRAM	RAM is not enough for execute this action, please check current account ram policy of this operation	O usuário RAM não possui as permissões necessárias para executar operações no Log Audit Service. Para mais informações, consulte Authorize a RAM user to manage Log Audit Service (New Version).
InvalidProductData	Invalid Product Code or Data Code	O código do product ou código dos dados especificado é inválido.
InvalidProductData	Invalid Policy Name	O nome da regra especificado é inválido.
InvalidPolicyConfig	Policy Config : resourceMode should be all/instanceMode/attributeMode	O modo de correspondência de recursos deve ser um dos seguintes: `all`, `instanceMode` ou `attributeMode`.
InvalidPolicyConfig	Policy Config : resourceMode should be all for lens global log type	Para um tipo de log global do CloudLens, o modo de correspondência de recursos deve ser definido como `all`.
InvalidPolicyConfig	Policy Config : resourceMode should be attribute mode for security log type	Para um tipo de log de segurança, o modo de correspondência de recursos deve ser definido como `attributeMode`.
InvalidPolicyConfig	Policy Config : you should set at least one center region for security log type	Para um tipo de log de segurança, configure pelo menos uma região central primária.
InvalidPolicyConfig	Policy Config : this productCode and dataCode not allowed to config instance ids	Para um tipo de log de segurança, não configure uma lista de instâncias.
InvalidConfig	Please check if the project/logstore belongs to you or the project/logstore in right region	O projeto ou logstore especificado para armazenamento centralizado não pertence à conta atual ou está na região incorreta.
InvalidConfig	policyCode and dataCode is required when you need to list policy by instanceId that meet the filter conditions	Ao pesquisar regras correspondentes por id de instância, especifique o código do product e o código dos dados.
InvalidCentralizeConfig	when centralizeEnabled, you should set at least one centralize config	Quando o armazenamento centralizado está ativado, configure as informações correspondentes do logstore centralizado.
InvalidCentralizeConfig	centralize config is necessary for security product log collection	Para tipos de log de segurança, configure o armazenamento centralizado.
InvalidCentralizeConfig	dest project, dest logstore, dest region, dest ttl should not be empty when centralize enabled	Quando o armazenamento centralizado está ativado, o projeto de destino, o logstore de destino e o período de retenção de dados não podem estar vazios.
InvalidCentralizeConfig	dest project invalid for centralize config	O projeto de destino para armazenamento centralizado é inválido.
InvalidCentralizeConfig	dest logstore invalid for centralize config	O logstore de destino para armazenamento centralizado é inválido.
InvalidCentralizeConfig	dest region invalid for centralize config	A região de destino para armazenamento centralizado é inválida.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : when you set resource directory, you should set account group type first	Ao configurar um Resource Directory, configure primeiro o modo multiconta.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config: instance mode not allowed to set resource directory	Se você ativar as configurações multiconta para um Resource Directory, não defina o modo de correspondência de recursos como modo de instância.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : members should not be empty	Quando o modo multiconta está definido como Custom, especifique uma lista de membros não vazia.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : centralize config enabled is required for resource directory	Para coletar logs de múltiplas contas em um Resource Directory, ative e configure o armazenamento centralizado para especificar um destino comum.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : the account resource directory not in use	O Resource Directory não está ativado para a conta atual.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : the account is neither a delegated admin nor a master, just a member account	A conta atual é uma conta membro, não sendo uma conta de gerenciamento ou administrador delegado, e não pode configurar o modo Resource Directory na regra.
InvalidResourceDirectoryConfig	Policy ResourceDirectory Config : custom members include invalid account	Quando o modo multiconta está definido como Custom, a lista de contas membro especificadas contém um id de conta inválido.
InvalidDataConfig	Policy DataConfig: the data region is not valid	A região de destino padrão configurada para o tipo de log global é inválida.
InvalidDataConfig	Policy DataConfig: this kind of product is not allowed to set data config	Esta configuração não é permitida porque o product ou tipo de log atual não é um tipo de log global.
InvalidDataConfig	Policy DataConfig: the data region already exist in other policy, you cannot change	Para tipos de log globais, após configurar uma região de destino padrão, ela entra em vigor imediatamente e não pode ser alterada posteriormente.

Documentação relacionada

Para usar um usuário RAM para gerenciar o novo Log Audit Service, conceda as permissões necessárias ao usuário RAM por meio de uma conta Alibaba Cloud. Para mais informações, consulte Authorize a RAM user to manage Log Audit Service (New Version).
Para informações sobre tipos de log, nomes padrão de projetos e logstores, e faturamento de services cloud, consulte Log collection reference for cloud services.
Para coletar logs de services cloud de múltiplas contas Alibaba Cloud, primeiro enable Resource Directory. Em seguida, como conta de gerenciamento ou administrador delegado do Resource Directory, configure as regras de coleta. Isso permite coletar logs das contas membro em um projeto especificado. Para mais informações, consulte Log collection reference for cloud services.