Simple Log Service:RAMロールに、Alibaba Cloudアカウント全体のLogstoreにアクセスする権限を付与する

Alibaba CloudアカウントAを使用して、RAMコンソールにログインします。

ソースLogstoreのデータを分析する権限を付与するポリシーを作成します。

1. 左側のナビゲーションウィンドウで、権限 > ポリシー.

2. クリックポリシーの作成.

3. On theポリシーの作成ページをクリックし、JSONタブをクリックします。

   コードエディターの既存のスクリプトを次のいずれかのポリシードキュメントに置き換えます。

   • 正確な名前を使用してリソースを一致させるポリシー

     この例では、ソースプロジェクトの名前はlog-project-prodです。 ソースLogstoreの名前はwebsite_logです。 名前は、プロジェクトとLogstoreの実際の名前に置き換えることができます。

     重要

     ポリシーを作成するときは、Logstoreキーワードの後にlogstoreまたはMetricstoreを指定できます。 Metricstoreを管理する場合は、次のポリシードキュメントを参照してポリシーを作成することもできます。

     {
         "Version":"1",
         "Statement":[
             {
                 "Action":[
                     "log:PostProjectQuery"
                 ],
                 "Resource":[
                     "acs:log:*:*:project/log-project-prod/logstore/website_log",
                     "acs:log:*:*:project/log-project-prod/logstore/website_log/*"
                 ],
                 "Effect":"Allow"
             },
             {
                 "Action":[
                     "log:GetProjectQuery",
                     "log:PutProjectQuery",
                     "log:DeleteProjectQuery"
                 ],
                 "Resource":[
                     "acs:log:*:*:project/log-project-prod"
                 ],
                 "Effect":"Allow"
             }
         ]
     }

   • ワイルドカード文字を使用してリソースを照合するポリシー

     この例では、ソースプロジェクトの名前は、log-project-dev-a、log-project-dev-b、およびlog-project-dev-cです。 ソースLogstoreの名前は、website_a_log、website_b_log、およびwebsite_c_logです。 名前は、プロジェクトとLogstoreの実際の名前に置き換えることができます。

     {
         "Version":"1",
         "Statement":[
             {
                 "Action":[
                     "log:PostProjectQuery"
                 ],
                 "Resource":[
                     "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log",
                     "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log/*"
                 ],
                 "Effect":"Allow"
             },
             {
                 "Action":[
                     "log:GetProjectQuery",
                     "log:PutProjectQuery",
                     "log:DeleteProjectQuery"
                 ],
                 "Resource":[
                     "acs:log:*:*:project/log-project-dev-*"
                 ],
                 "Effect":"Allow"
             }
         ]
     }

4. クリックポリシー情報を編集する次に次のパラメーターを設定し、OK.

   パラメーター	説明
   名前	ポリシーの名前を入力します。 例: log-scheduled-sql-policy
   説明	ポリシーの説明を入力します。

RAMロールAに権限を付与します。

1. 左側のナビゲーションウィンドウで、アイデンティティ > ロール.

2. RAMロールAを見つけて、権限付与[アクション] 列に表示されます。

3. [ポリシーの選択] セクションで [カスタムポリシー] をクリックし、ステップ2で作成したポリシーを選択します。 [OK] をクリックします。 この例では、log-scheduled-sql-policyポリシーが選択されています。

4. 承認結果を確認します。 次に、[完了] をクリックします。

RAMロールAのAlibaba Cloudリソース名 (ARN) を取得します。

Alibaba CloudアカウントBを使用して、RAMコンソールにログインします。

宛先Logstoreにデータを書き込む権限を付与するポリシーを作成します。

1. 左側のナビゲーションウィンドウで、権限 > ポリシー.

2. [ポリシー] ページで、ポリシーの作成.

3. On theポリシーの作成ページをクリックし、JSONタブをクリックします。

   コードエディターの既存のスクリプトを次のいずれかのポリシードキュメントに置き換えます。

   • 正確な名前を使用してリソースを一致させるポリシー

     この例では、ターゲットプロジェクトの名前はlog-project-prodです。 宛先Logstoreの名前はwebsite_log_outputです。 名前は、プロジェクトとLogstoreの実際の名前に置き換えることができます。

     重要

     ポリシーを作成するときは、Logstoreキーワードの後にlogstoreまたはMetricstoreを指定できます。 Metricstoreを管理する場合は、次のポリシードキュメントを参照してポリシーを作成することもできます。

     {
       "Version": "1",
       "Statement": [
         {
           "Action": [
             "log:Post*",
             "log:BatchPost*"
           ],
            "Resource": "acs:log:*:*:project/log-project-prod/logstore/website_log_output",
           "Effect": "Allow"
         }
       ]
     }

   • ワイルドカード文字を使用してリソースを照合するポリシー

     この例では、ターゲットプロジェクトの名前は、log-project-dev-a、log-project-dev-b、およびlog-project-dev-cです。 宛先Logstoreの名前は、website_a_log_output、website_b_log_output、およびwebsite_c_log_outputです。 名前は、プロジェクトとLogstoreの実際の名前に置き換えることができます。

     {
       "Version": "1",
       "Statement": [
         {
           "Action": [
             "log:Post*",
             "log:BatchPost*"
           ],
            "Resource": "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log_output",
           "Effect": "Allow"
         }
       ]
     }

4. クリックポリシー情報を編集する次に次のパラメーターを設定し、OK.

   パラメーター	説明
   名前	ポリシーの名前を入力します。 例: log-sink-write-policy
   説明	ポリシーの説明を入力します。

RAMロールBに権限を付与します。

1. 左側のナビゲーションウィンドウで、アイデンティティ > ロール.

2. RAMロールBを見つけて、権限付与[アクション] 列に表示されます。

3. [ポリシーの選択] セクションで [カスタムポリシー] をクリックし、ステップ2で作成したポリシーを選択します。 [OK] をクリックします。 この例では、log-sink-write-policyポリシーが選択されています。

4. 承認結果を確認します。 次に、[完了] をクリックします。

RAMロールBの信頼ポリシーを変更します。

1. [ロール] ページで、RAMロールBの名前をクリックします。

2. 信頼ポリシータブをクリックします。信頼ポリシーの編集.

3. 信頼ポリシーを変更します。

   [Alibaba CloudアカウントAのID] を [サービス] 要素に追加します。 ビジネスシナリオに基づいてIDを置き換えます。 アカウントセンターコンソールでAlibaba CloudアカウントのIDを確認できます。

   次のポリシーにより、Alibaba CloudアカウントAは、Alibaba cloudアカウントBのクラウドリソースを管理するための一時的なSTS (Security Token Service) トークンを取得できます。

   {
       "Statement": [
           {
               "Action": "sts:AssumeRole",
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "log.aliyuncs.com",
                       "ID of Alibaba Cloud Account A@log.aliyuncs.com"
                   ]
               }
           }
       ],
       "Version": "1"
   }

4. [信頼ポリシードキュメントの保存] をクリックします。

RAMロールBのARNを取得します。