阿里云日志服务SLS配置访问控制-云淘科技

授权方式

日志服务提供默认、内置角色和自定义角色方式获取日志库或时序库的访问权限。

说明 如果允许RAM用户使用内置角色或者自定义角色查询时序库或日志库，还需要给RAM用户授予角色对应的ram:PassRole权限，权限策略如下。具体操作，请参见授予RAM用户告警操作权限。

{
     "Action": "ram:PassRole",
     "Effect": "Allow",
     "Resource": "acs:ram::阿里云账号ID:角色ARN"
 }

默认授权方式

对同一个Project内的不同日志库和时序库进行告警监控时，使用默认授权方式。创建日志告警监控规则时，在查询统计的高级配置中，从授权方式列表选择默认即可。

内置角色授权方式

对同一个阿里云账号的不同日志库和时序库进行告警监控时，您需要授予系统角色AliyunSLSAlertMonitorRole权限来读取源日志库中的数据。在创建日志告警监控规则中，授予系统角色AliyunSLSAlertMonitorRole权限的操作如下。

1. 在告警监控规则页面，单击查询统计中的编辑框。
2. 在高级配置页签中，配置授权方式为内置角色。
3. 如果是首次配置，单击前往授权。

   
   说明 如果您是RAM用户，需要由阿里云账号完成授权。

   

4. 在云资源访问授权页面，单击同意授权。

自定义角色授权方式（同账号）

对同一个阿里云账号下的不同日志库和时序库进行告警监控时，您可以通过自定义角色实现协同告警监控。

在执行如下操作时，您需要先准备一个可用的RAM角色。具体操作，请参见步骤一：创建RAM角色。

1. 登录RAM 控制台。
2. 创建具备监控告警权限的策略。
   1. 在左侧导航栏中，选择权限管理 > 权限策略管理。
   2. 单击创建权限策略。
   3. 在新建自定义权限策略页面中，配置如下参数，并单击确定。
      

      参数	描述
      策略名称	配置策略名称。例如sls-alert-monitor-1-policy。
      配置模式	选择脚本配置。
      策略内容	将配置框中的原有脚本替换为如下内容。其中，Project名称需根据实际情况替换。 如果您想要更细粒度的授权，例如只允许在指定Project下创建监控规则，则可以在下述策略的Resource中指定具体的Project，例如acs:log:*:*:project/my-project。 { "Statement": [ { "Action": [ "log:ListProject" ], "Effect": "Allow", "Resource": [ "acs:log:*:*:*" ] }, { "Action": [ "log:ListLogStores", "log:GetLogStoreLogs", "log:GetIndex" ], "Effect": "Allow", "Resource": [ "acs:log:*:*:project/Project名称/*" ] } ], "Version": "1" }

   4. 单击确定。
3. 为RAM角色授予监控告警权限策略。
   1. 在左侧导航栏中，选择身份管理 > 角色。
   2. RAM角色列表中，找到目标RAM角色，单击添加权限。
   3. 在自定义策略页签，选中步骤2中创建的策略（例如sls-alert-monitor-1-policy），单击确定。
   4. 确认授权结果，单击完成。
   5. 在RAM角色列表中，单击目标RAM角色。
   6. 在信任策略管理页签中，单击修改信任策略。
      在Service配置项中添加log.aliyuncs.com。该策略表示允许日志服务获取临时Token来操作其账号下的资源。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

4. 在RAM角色详情页面的基本信息区域，获取RAM角色标识（ARN）。授权完成后，您可以在创建日志告警监控规则时，使用该RAM角色标识。具体操作，请参见创建日志告警监控规则。

自定义角色授权方式（跨账号）

对跨阿里云账号下的不同日志库和时序库进行告警监控时，您可以通过自定义角色实现告警监控。例如在阿里云账号A中创建告警，监控阿里云账号B下的日志库和时序库。授权操作步骤如下：

在执行如下操作时，您需要先准备一个可用的RAM角色。具体操作，请参见步骤一：创建RAM角色。

1. 使用阿里云账号B，登录RAM 控制台。
2. 创建具备监控告警权限的策略。
   1. 在左侧导航栏中，选择权限管理 > 权限策略管理。
   2. 单击创建权限策略。
   3. 在新建自定义权限策略页面中，配置如下参数，并单击确定。
      

      参数	描述
      策略名称	配置策略名称。例如sls-alert-monitor-2-policy。
      配置模式	选择脚本配置。
      策略内容	将配置框中的原有脚本替换为如下内容。其中，Project名称需根据实际情况替换。 如果您想要更细粒度的授权，例如只允许在指定Project下创建监控规则，则可以在下述策略的Resource中指定具体的Project，例如acs:log:*:*:project/my-project。 { "Statement": [ { "Action": [ "log:ListProject" ], "Effect": "Allow", "Resource": [ "acs:log:*:*:*" ] }, { "Action": [ "log:ListLogStores", "log:GetLogStoreLogs", "log:GetIndex" ], "Effect": "Allow", "Resource": [ "acs:log:*:*:project/Project名称/*" ] } ], "Version": "1" }

   4. 单击确定。
3. 为RAM角色授予监控告警权限策略。
   1. 在左侧导航栏中，选择身份管理 > 角色。
   2. 在RAM角色列表中，找到目标RAM角色，单击添加权限。
   3. 在自定义策略页签，选中步骤2中创建的策略（例如sls-alert-monitor-2-policy），单击确定。
   4. 确认授权结果，单击完成。
   5. 在RAM角色列表中，单击目标RAM角色。
   6. 在信任策略管理页签中，单击修改信任策略。
      在Service配置项中添加阿里云账号A的ID@log.aliyuncs.com，其中请根据实际情况替换阿里云账号A的ID。您可以在账号中心中查看阿里云账号ID。该策略表示阿里云账号A有权限通过日志服务获取临时Token来监控阿里云账号B下的日志库和时序库。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "阿里云账号A的ID@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

4. 在RAM角色详情页面的基本信息区域，获取RAM角色标识（ARN）。授权完成后，您可以在创建日志告警监控规则时，使用该RAM角色标识。具体操作，请参见创建日志告警监控规则。