Intra-account log transfer with custom roles - Simple Log Service: Central de Documentação do Alibaba Cloud

Usuários RAM podem usar funções personalizadas para transferir dados de log na mesma conta da Alibaba Cloud durante a transformação de dados.

Pré-requisitos

O Logstore de origem (source), o Logstore de destino e o projeto devem estar criados, e você deve ter os respectivos nomes. gerencie Logstores, gerencie Projects.
Um usuário RAM com permissões de transformação de dados deve estar criado. Grant RAM users permissions to perform data transformation.

Informações de contexto

Quando um usuário RAM cria um trabalho de transformação de dados em uma única conta, a função RAM A requer permissões de leitura no Logstore de origem, e a função RAM B requer permissões de gravação no Logstore de destino. A figura a seguir ilustra o modelo de autorização.

Etapa 1: Criar a função A

Faça login no console RAM com sua conta da Alibaba Cloud ou como administrador RAM.

crie a função RAM A.

Para mais informações, consulte crie a RAM role for a trusted Alibaba Cloud service. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Select type of trusted entity	selecione Alibaba Cloud Service.
Role Type	selecione Normal Service Role.
Role Name	insira um nome para a função, como role-A.
Select Trusted Service	selecione Simple Log Service.

Etapa 2: Conceder permissões de leitura

Faça login no console RAM com sua conta da Alibaba Cloud ou como administrador RAM.

No modo de edição de scripts, crie uma política personalizada para ler dados do Logstore de origem. Por exemplo, nomeie a política como ori_read.

Para mais informações, consulte crie a custom policy. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal

Descrição

Name

insira um nome para a política personalizada. Por exemplo, insira ori_read.

Policy Document

Substitua o script JSON existente no editor pelo conteúdo a seguir.

Neste exemplo, o projeto de origem é log-project-prod e o Logstore de origem é access_log. Substitua esses valores de acordo com a sua configuração real.

{
      "Version": "1",
      "Statement": [
        {
          "Action": [
            "log:ListShards",
            "log:GetCursorOrData",
            "log:GetConsumerGroupCheckPoint",
            "log:UpdateConsumerGroup",
            "log:ConsumerGroupHeartBeat",
            "log:ConsumerGroupUpdateCheckPoint",
            "log:ListConsumerGroup",
            "log:CreateConsumerGroup"
          ],
          "Resource": [
            "acs:log:*:*:project/log-project-prod/logstore/access_log",
            "acs:log:*:*:project/log-project-prod/logstore/access_log/*"
          ],
          "Effect": "Allow"
        }
      ]
    }

Conceda permissões de leitura à função RAM A no Logstore de origem.

Para mais informações, consulte gerencie permissions for a RAM role. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Grant Permission On	selecione Account Level. As permissões entram em vigor na conta atual da Alibaba Cloud.
Principal	selecione role-A, criada na Step 1: Create RAM role A.
Custom Policy	selecione ori_read.

Obtenha o Alibaba Cloud Resource Name (ARN) da função RAM.

Na página de detalhes da função RAM A, encontre o ARN na seção Basic Information. Exemplo: acs:ram::1379******44:role/role-a.

Etapa 3: Criar a função B

crie a função RAM B.

Para mais informações, consulte crie a RAM role for a trusted Alibaba Cloud service. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Select type of trusted entity	selecione Alibaba Cloud Service.
Role Type	selecione Normal Service Role.
Role Name	insira um nome para a função, como role-B.
selecione Trusted Service	selecione Simple Log Service.

Etapa 4: Conceder permissões de gravação

No modo de edição de scripts, crie uma política personalizada para gravar os resultados da transformação de dados no Logstore de destino. Por exemplo, crie uma política chamada write.

Para mais informações, consulte crie a custom policy. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Name	insira um nome para a política personalizada. Por exemplo, insira write.
Policy Document	Substitua o script JSON existente no editor pelo conteúdo a seguir. Neste exemplo, o projeto de destino é `log-project-prod` e o Logstore de destino é `access_log_output`. Substitua esses valores de acordo com a sua configuração real. `{ "Version": "1", "Statement": [ { "Action": [ "log:Post", "log:BatchPost" ], "Resource": "acs:log:::project/log-project-prod/logstore/access_log_output", "Effect": "Allow" } ] }`

Conceda permissões de gravação à função RAM B no Logstore de destino.

Para mais informações, consulte gerencie permissions for a RAM role. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Grant Permission On	selecione Account Level. As permissões entram em vigor na conta atual da Alibaba Cloud.
Principal	selecione role-B, criada na Step 3: Create RAM role B.
Custom Policy	selecione write.

Obtenha o Alibaba Cloud Resource Name (ARN) da função RAM.

Na página de detalhes da função RAM B, encontre o ARN na seção Basic Information. Exemplo: acs:ram::1379******44:role/role-b.

No modo de edição de scripts, crie uma política personalizada. Essa política permite gravar os resultados da transformação de dados no Logstore de destino. Por exemplo, nomeie a política como write.

Para mais informações, consulte crie a custom policy. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Name	insira um nome para a política personalizada. Por exemplo, insira write.
Policy Document	Substitua o script JSON existente no editor pelo conteúdo a seguir. Neste exemplo, o projeto de destino é log-project-prod e o Logstore de destino é access_log_output. Substitua esses valores de acordo com a sua configuração real. `{ "Version": "1", "Statement": [ { "Action": [ "log:Post", "log:BatchPost" ], "Resource": "acs:log:::project/log-project-prod/logstore/access_log_output", "Effect": "Allow" } ] }`

Conceda permissões de gravação à função RAM B no Logstore de destino.

Para mais informações, consulte gerencie the permissions of a RAM role. Configure os parâmetros principais conforme a tabela a seguir.

Parâmetro principal	Descrição
Grant Permission On	selecione Account Level. As permissões entram em vigor na conta atual da Alibaba Cloud.
Principal	selecione role-B, criada na Step 3: Create role B.
Custom Policy	selecione write.

Obtenha o ARN da função RAM.

Na página de detalhes da função RAM B, encontre o ARN na seção Basic Information. Exemplo: acs:ram::1379******44:role/role-b.

Etapa 5: Criar o trabalho de transformação de dados

Faça login no Log Service console como o usuário RAM.
acesse a página de transformação de dados.
1. Na seção Projects, clique no projeto desejado.
2. Na aba Log Storage > Logstores, clique no Logstore desejado.
3. Na página Query and Analysis, clique em Data Transformation.
No canto superior direito da página, selecione um intervalo de tempo para os dados.

Certifique-se de que os dados de log apareçam na aba Raw Logs.
insira uma instrução de transformação de dados no editor.

Data transformation syntax.
Pré-visualize os dados.
1. Clique em Quick.
  
  O Simple Log Service oferece pré-visualização rápida e avançada. Preview and debug.
2. Clique em Preview Data.
  Revise os resultados da pré-visualização.
  - Se a transformação falhar devido a instruções incorretas ou permissões mal configuradas, siga as instruções na tela para resolver o problema.
  - Se o resultado da transformação estiver correto, prossiga para a próxima etapa.

Crie um trabalho de transformação de dados.

Clique em Save as Transformation Job.

No painel Create Data Transformation Job, configure os parâmetros e clique em OK.

Para obter informações sobre outros parâmetros, consulte Data transformation quick start. A tabela a seguir descreve os parâmetros principais.

Parâmetro principal	Descrição
Authorization Method	selecione Custom Role.
Role ARN	insira o ARN da função RAM A. Exemplo: `acs:ram::1379******44:role/role-a`.
Authorization Method para Storage Destination	selecione Custom Role.
Role ARN	insira o ARN da função RAM B. Exemplo: `acs:ram::1379******44:role/role-b`.

Depois que o trabalho de transformação de dados começar a executar, a transferência de dados intraconta estará configurada. Para mais informações, consulte gerencie data transformation jobs.