如果您需要将日志服务的操作权限授予一个受信实体用户，允许该实体用户下的RAM角色操作日志服务，您需要创建RAM用户角色并指定受信云账号、为RAM用户角色授权、为受信账号下的RAM用户授予AssumeRole权限、获取RAM用户角色的临时安全令牌。

背景信息

角色和用户都是RAM中使用的身份。与RAM用户相比，RAM用户角色是一种虚拟用户，它没有确定的身份认证密钥，且需要被一个受信的实体用户（例如云账号、云服务账号）扮演才能正常使用。扮演成功后实体用户将获得RAM用户角色的临时安全令牌，使用这个临时安全令牌就能以RAM用户角色身份访问被授权的资源。

步骤1：创建用户角色并指定受信云账号

  1. 登录RAM控制台。
  2. 在左侧导航栏，单击RAM角色管理。
  3. 在RAM角色管理页面，单击创建RAM角色。
  4. 选择可信实体类型为阿里云账号，单击下一步。
  5. 请参考下表说明进行角色配置。
    配置项 说明
    角色名称 请输入角色名称。
    备注 请输入备注信息。
    选择云账号 可以选择当前云账号或其他云账号。
    • 若创建的角色是给您自己名下的RAM用户使用（例如授权移动App客户端直接操作日志服务的资源），请选择当前云账号为受信云账号。
    • 若创建的角色是给其他云账号名下的RAM用户使用（例如跨账号的资源授权），请选择其他云账号，并在受信云账号ID中填写其他云账号ID。
  6. 单击完成。

步骤2：为RAM用户角色授权

成功创建用户角色后，该用户角色没有任何权限，您需要为RAM用户角色授予操作日志服务的权限。您上一步中指定的受信云账号将有权限扮演该RAM用户角色操作日志服务。

您可以赋予RAM用户角色一个或多个授权策略，包括系统授权策略和自定义授权策略。下文步骤以授予RAM用户角色管理日志服务的权限为例。

  1. 在左侧导航栏，单击RAM角色管理。
  2. 找到目标RAM角色，单击添加权限。
  3. 在添加权限页面，选中系统策略下的AliyunLogFullAccess，单击确定。
  4. 确认授权结果，单击完成。

步骤3：为受信云账号的RAM用户授权

RAM用户角色需要被一个受信的实体用户扮演才能正常使用，但是受信实体用户不能以自己的身份扮演RAM用户角色，必须以RAM用户的身份扮演。即RAM用户角色只能通过RAM用户身份来扮演使用。

另外，受信云账号必须为其名下的RAM用户进行AssumeRole授权，授予该RAM用户调用STS服务AssumeRole接口的权限，此RAM用户才能代表受信云账号扮演步骤1：创建用户角色并指定受信云账号中创建的RAM用户角色。

  1. 在左侧导航栏，单击人员管理 > 用户。
  2. 找到目标用户，单击添加权限。
  3. 在添加权限页面，选中系统策略下的AliyunSTSAssumeRoleAccess，单击确定。
  4. 确认授权结果，单击完成。

步骤4：获取RAM用户角色的临时安全令牌

当RAM用户被授予AssumeRole权限之后，通过调用STS AssumeRole接口获取步骤1：创建用户角色并指定受信云账号中创建的RAM用户角色的临时安全令牌。

说明
  • 关于AssumeRole API的调用方法，请参见Java示例。
  • 使用STS SDK拿到AccessKey ID、AccessKey Secret、SecurityToken之后，通过使用日志服务的SDK访问日志服务，请参见概述。