阿里云日志服务SLS自定义授权日志采集与同步-云淘科技

背景信息

日志审计服务支持采集同一主账号下的云产品日志，也支持跨主账号采集云产品日志。 进行跨账号采集云产品日志时，当前主账号和其他主账号需要进行双向授权。 说明 当前主账号的授权在创建服务关联角色AliyunServiceRoleForSLSAudit时，自动完成。具体操作，请参见首次配置。其他主账号要使用自定义权限时，需参见本文完成授权。

• 当前主账号允许其他账号同步数据到当前主账号的审计Logstore。
• 其他主账号允许同步数据到当前主账号的审计Logstore。

使用日志审计服务涉及多个授权角色和策略，对应关系如下所示：

• 当前主账号
  

  角色	权限策略
  AliyunServiceRoleForSLSAudit	AliyunServiceRolePolicyForSLSAudit

• 其他账号
  

  角色	权限策略
  sls-audit-service-monitor	ReadOnlyAccess AliyunLogAuditServiceMonitorAccess

操作步骤

1. 使用其他账号登录RAM 控制台。建议使用RAM用户登录，且该RAM用户需具备RAM读写权限（例如已被授予AliyunRAMFullAccess策略）。
2. 创建权限策略AliyunLogAuditServiceMonitorAccess。
   1. 在左侧导航栏中，选择权限管理 > 权限策略管理，单击创建权限策略。
   2. 在新建自定义权限策略页面，配置如下参数，并单击确定。
      

      参数	说明
      策略名称	配置为AliyunLogAuditServiceMonitorAccess。
      配置模式	选择脚本配置。
      策略内容	将配置框中的原有脚本替换为如下内容。 { "Version": "1", "Statement": [ { "Action": "log:*", "Resource": [ "acs:log:*:*:project/slsaudit-*", "acs:log:*:*:app/audit" ], "Effect": "Allow" }, { "Action": [ "rds:ModifySQLCollectorPolicy", "vpc:*FlowLog*", "drds:*SqlAudit*", "kvstore:ModifyAuditLogConfig", "polardb:ModifyDBClusterAuditLogCollector", "config:UpdateIntegratedServiceStatus", "config:StartConfigurationRecorder", "config:PutConfigurationRecorder" ], "Resource": "*", "Effect": "Allow" }, { "Action": "ram:CreateServiceLinkedRole", "Resource": "*", "Effect": "Allow", "Condition": { "StringEquals": { "ram:ServiceName": [ "config.aliyuncs.com" ] } } } ] }

3. 创建sls-audit-service-monitor角色。
   1. 在左侧导航栏中，选择身份管理 > 角色，然后单击创建RAM角色。
   2. 在选择类型配置向导中，选择阿里云服务，单击下一步。
   3. 在配置角色配置向导中，配置如下参数后，然后单击完成。
      

      参数	说明
      角色类型	选择普通服务角色。
      角色名称	配置为sls-audit-service-monitor。
      选择受信服务	选择日志服务。

   4. 在创建完成配置向导中，单击为角色授权。
4. 授予sls-audit-service-monitor角色AliyunLogAuditServiceMonitorAccess策略。在添加权限面板中，选择自定义策略下的AliyunLogAuditServiceMonitorAccess策略和系统策略下的ReadOnlyAccess策略。单击确定。
5. 修改sls-audit-service-monitor角色的信任策略。
   1. 在RAM角色列表中，单击sls-audit-service-monitor角色。
   2. 在信任策略管理页签，将配置框中的原有脚本替换为如下内容，然后单击确定。其中，中心主账号ID请根据实际值替换，您可以在账号中心查看阿里云账号的ID。

       {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "中心主账号ID@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }