Simple Log Service:Autorização personalizada para coleta e sincronização de logs

Informações básicas

O Log Audit Service coleta logs de serviços cloud dentro de uma única conta Alibaba Cloud ou em múltiplas contas. A coleta de logs entre contas exige autorização mútua entre a conta atual e as demais contas envolvidas.

• A conta Alibaba Cloud atual permite que outras contas sincronizem dados em seu Logstore de auditoria.

• As outras contas Alibaba Cloud autorizam a sincronização de dados para o Logstore de auditoria da conta atual.

Procedimento

1. Em uma das outras contas Alibaba Cloud, faça login no console RAM.

   Recomendamos fazer login como um usuário RAM com permissões de leitura e gravação no RAM, como aquelas concedidas pela política AliyunRAMFullAccess.

2. Crie a política AliyunLogAuditServiceMonitorAccess.

   1. No painel de navegação à esquerda, escolha Permission Management > Policy. Na página Policies, clique em Create Policy.

   2. Na página Create Policy, clique na aba Script.

      Substitua o conteúdo do editor de políticas pelo código a seguir.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "log:*",
                  "Resource": [
                      "acs:log:*:*:project/slsaudit-*",
                      "acs:log:*:*:app/audit"
                  ],
                  "Effect": "Allow"
              },
              {
                  "Action": [
                      "rds:ModifySQLCollectorPolicy",
                      "vpc:*FlowLog*",
                      "drds:*SqlAudit*",
                      "kvstore:ModifyAuditLogConfig",
                      "polardb:ModifyDBClusterAuditLogCollector",
                      "config:UpdateIntegratedServiceStatus",
                      "config:StartConfigurationRecorder",
                      "config:PutConfigurationRecorder",
                      "pvtz:DescribeResolveAnalysisScopeStatus",
                      "pvtz:SetResolveAnalysisScopeStatus"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              },
              {
                  "Action": "ram:CreateServiceLinkedRole",
                  "Resource": "*",
                  "Effect": "Allow",
                  "Condition": {
                      "StringEquals": {
                          "ram:ServiceName": [
                              "config.aliyuncs.com",
                              "pvtz.aliyuncs.com"
                          ]
                      }
                  }
              }
          ]
      }

   3. Clique em Next to edit policy information, configure os parâmetros a seguir e clique em OK.

      Parâmetro	Descrição
      Name	Defina o nome como AliyunLogAuditServiceMonitorAccess.
      Remarks	Insira uma breve descrição para a política.

3. Crie a função sls-audit-service-monitor.

   1. No painel de navegação à esquerda, escolha Identities > Role e clique em Create Role.

   2. Na etapa Select Role Type, selecione Alibaba Cloud Service e clique em Next.

   3. Na etapa Configure Role, configure os parâmetros a seguir e clique em Complete.

      Parâmetro	Descrição
      Role Type	Selecione Normal Service Role.
      Role Name	Defina o nome como sls-audit-service-monitor.
      Select Trusted Service	Selecione Simple Log Service.

   4. Na etapa Finish, clique em Add Permissions to RAM Role.

   5. Clique em Create Authorization.

4. Anexe políticas à função sls-audit-service-monitor.

   No painel Create Authorization, selecione AliyunLogAuditServiceMonitorAccess em Custom Policy e ReadOnlyAccess em System Policy. Clique em OK.

5. Modifique a política de confiança da função sls-audit-service-monitor.

   1. Na aba Trust Policy Management, clique em Edit Trust Policy. Substitua o conteúdo existente no editor de políticas pelo código a seguir e clique em Save trust policy document.

      Substitua <CentralAccountID> pelo ID da sua conta Alibaba Cloud central. Encontre o ID da conta no Account Center.

       {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }