通過預設角色訪問資料

阿里雲系統角色AliyunLogDefaultRole具備讀取LogStore資料及寫入資料到OSS Bucket的許可權。您可以授權OSS-HDFS投遞任務扮演AliyunLogDefaultRole角色來讀取源LogStore的資料以及將資料寫入到OSS Bucket中。

同帳號投遞

如果您的Log ServiceLogStore和OSS Bucket屬於同一個帳號，則您需單擊雲資源訪問授權，在該帳號下建立AliyunLogDefaultRole角色。

建立AliyunLogDefaultRole角色後，您在建立OSS-HDFS投遞任務時，在寫OSS-HDFS RAM角色和讀Logstore RAM角色中選中預設角色，即可授權OSS-HDFS投遞任務扮演AliyunLogDefaultRole角色讀取源LogStore中的資料以及寫入資料到OSS Bucket。系統將自動填入預設角色 ARN（格式如 acs:ram::帳號ID:role/aliyunlogdefaultrole）。

跨帳號投遞

如果Log ServiceLogStore和OSS Bucket不屬於同一個阿里雲帳號，例如LogStore屬於阿里雲帳號A，OSS Bucket屬於帳號B，則您需在兩個帳號下分別單擊雲資源訪問授權，分別建立AliyunLogDefaultRole角色。建立後，還需進行如下配置。

使用阿里雲帳號B登入RAM 控制台RAM控制台。
在左側導覽列中，選擇身份管理 > 角色。
修改AliyunLogDefaultRole角色的信任策略。
1. 在RAM角色列表中，單擊AliyunLogDefaultRole。
2. 在信任策略頁簽中，單擊編輯信任策略。
3. 將原有的信任策略替換為如下內容，然後單擊儲存信任策略。
  在Service配置項中添加阿里雲帳號A的ID@log.aliyuncs.com，並根據實際情況替換該值。您可以在帳號中心查看阿里雲帳號ID。
  
  該策略表示帳號A有許可權通過Log Service擷取臨時Token來操作帳號B中的資源。
```
{
  "Statement": [
   {
     "Action": "sts:AssumeRole",
     "Effect": "Allow",
     "Principal": {
       "Service": [
         "帳號A對應的阿里雲帳號ID@log.aliyuncs.com",
         "log.aliyuncs.com"
       ]
     }
   }
  ],
  "Version": "1"
}
```
完成上述操作後，您在建立OSS-HDFS投遞任務時，在寫OSS-HDFS RAM角色中選擇自訂角色，並輸入帳號B的AliyunLogDefaultRole角色的ARN（例如acs:ram::11****13:role/aliyunlogdefaultrole），在讀Logstore RAM角色中選中預設角色，即可授權OSS-HDFS投遞任務扮演帳號A下的AliyunLogDefaultRole角色讀取源LogStore中的資料，扮演帳號B下的AliyunLogDefaultRole角色將資料寫入到OSS Bucket。如何擷取，請參見擷取AliyunLogDefaultRole的ARN。

擷取AliyunLogDefaultRole的ARN

使用阿里雲帳號登入RAM 控制台RAM控制台。
在左側導覽列中，選擇身份管理 > 角色。
在RAM角色列表中，單擊AliyunLogDefaultRole。
在基本資料地區，擷取ARN。

請記錄該資訊，如果您在建立OSS-HDFS投遞任務時使用的是預設角色，則需要輸入該資訊。