スケジュールされたSQLジョブが同じAlibaba Cloudアカウントのデータを処理するロールを引き受けることができるように、RAMロールに必要な権限を付与する方法 - Simple Log Service

スケジュールされたSQLジョブが実行されると、ジョブはSQL文を実行してソースLogstoreのデータを分析し、分析結果をターゲットLogstoreに保存します。リソースアクセス管理 (RAM) ロールをスケジュールされたSQLジョブに割り当てて、上記の操作を完了できます。ソースLogstoreとターゲットLogstoreが同じAlibaba Cloudアカウントに属している場合、このトピックで説明されている手順を実行して、RAMロールに権限を付与します。スケジュールされたSQLジョブを設定するときに、LogstoreまたはMetricstoreを指定できます。このトピックでは、同じAlibaba CloudアカウントのLogstoreにアクセスする権限をRAMロールに付与する方法について説明します。

前提条件

RAMロールが作成されます。詳細については、「RAM ロールの作成」をご参照ください。

重要

RAMロールを作成するときに、信頼できるエンティティとしてAlibaba Cloud Serviceを選択します。

RAMロールの信頼ポリシーでは、以下に示すように、"サービス" フィールドに "log.aliyuncs.com" を含める必要があります。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "log.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

ソースLogstoreのログデータを分析する権限をRAMロールに付与する

ソースLogstore内のデータを分析する権限をRAMロールに付与すると、スケジュールされたSQLジョブはRAMロールを引き受けて、ソースLogstore内のデータに対してSQL分析を実行できます。

RAM (Resource Access Management) コンソールにログインします。
ソースLogstoreのログデータを分析する権限を含むポリシーを作成します。
1. 左側のナビゲーションウィンドウから、 [権限] > [ポリシー] を選択します。
2. [ポリシーの作成] をクリックします。
3. [ポリシーの作成] ページで、[JSON] タブをクリックします。コードエディターの既存のスクリプトを次のいずれかのポリシードキュメントに置き換えます。完全一致またはファジー一致が承認にサポートされています。
  認証の完全一致
  この例では、ソースプロジェクトの名前はlog-project-prodです。ソースLogstoreの名前はwebsite_logです。名前は、プロジェクトとLogstoreの実際の名前に置き換える必要があります。
  重要
  ポリシーを作成するときは、Logstoreキーワードの後にlogstoreまたはMetricstoreを指定できます。 Metricstoreを管理する場合は、次のポリシードキュメントを参照してポリシーを作成することもできます。
```
{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "log:PostProjectQuery"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-prod/logstore/website_log",
                "acs:log:*:*:project/log-project-prod/logstore/website_log/*"
            ],
            "Effect":"Allow"
        },
        {
            "Action":[
                "log:GetProjectQuery",
                "log:PutProjectQuery",
                "log:DeleteProjectQuery"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-prod"
            ],
            "Effect":"Allow"
        }
    ]
}
```
  承認のためのファジーマッチ
  この例では、ソースプロジェクトの名前は、log-project-dev-a、log-project-dev-b、およびlog-project-dev-cです。ソースLogstoreの名前は、website_a_log、website_b_log、およびwebsite_c_logです。名前は、プロジェクトとLogstoreの実際の名前に置き換える必要があります。
```
{
    "Version":"1",
    "Statement":[
        {
            "Action":[
                "log:PostProjectQuery"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log",
                "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log/*"
            ],
            "Effect":"Allow"
        },
        {
            "Action":[
                "log:GetProjectQuery",
                "log:PutProjectQuery",
                "log:DeleteProjectQuery"
            ],
            "Resource":[
                "acs:log:*:*:project/log-project-dev-*"
            ],
            "Effect":"Allow"
        }
    ]
}
```
4. [OK] をクリックします。表示されるダイアログボックスで、パラメーターを設定します。下表に、各パラメーターを説明します。
  パラメーター
  説明
  名前
  ポリシー名です。
  脱着
  ポリシーの説明です。
RAMロールに権限を付与します。
1. 左側のナビゲーションペインで、[ID] > [ロール] を選択します。
2. RAMロールを見つけ、[操作] 列の [権限の付与] をクリックします。
3. 手順2で作成したポリシーを選択し、[OK] をクリックします。
4. 閉じるをクリックします。

RAMロールに、宛先Logstoreにデータを書き込む権限を付与する

RAMロールにデータを宛先Logstoreに書き込む権限を付与すると、スケジュールされたSQLジョブはRAMロールを引き受けて、SQL分析結果を宛先Logstoreに書き込むことができます。

RAM (Resource Access Management) コンソールにログインします。
宛先Logstoreにデータを書き込む権限を含むポリシーを作成します。
1. 左側のナビゲーションウィンドウから、 [権限] > [ポリシー] を選択します。
2. [ポリシーの作成] をクリックします。
3. [ポリシーの作成] ページで、[JSON] タブをクリックします。コードエディターの既存のスクリプトを次のいずれかのポリシードキュメントに置き換えます。完全一致またはファジー一致が承認にサポートされています。
  認証の完全一致
  この例では、ソースプロジェクトの名前はlog-project-prodです。ソースLogstoreの名前はwebsite_log_outputです。名前は、プロジェクトとLogstoreの実際の名前に置き換える必要があります。
  重要
  ポリシーを作成するときは、Logstoreキーワードの後にlogstoreまたはMetricstoreを指定できます。 Metricstoreを管理する場合は、次のポリシードキュメントを参照してポリシーを作成することもできます。
```
{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:Post*",
        "log:BatchPost*"
      ],
       "Resource": "acs:log:*:*:project/log-project-prod/logstore/website_log_output",
      "Effect": "Allow"
    }
  ]
}
```
  承認のためのファジーマッチ
  この例では、ソースプロジェクトの名前は、log-project-dev-a、log-project-dev-b、およびlog-project-dev-cです。ソースLogstoreの名前は、website_a_log_output、website_b_log_output、およびwebsite_c_log_outputです。名前は、プロジェクトとLogstoreの実際の名前に置き換える必要があります。
```
{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "log:Post*",
        "log:BatchPost*"
      ],
       "Resource": "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log_output",
      "Effect": "Allow"
    }
  ]
}
```
4. [OK] をクリックします。表示されるダイアログボックスで、パラメーターを設定します。下表に、各パラメーターを説明します。
  パラメーター
  説明
  名前
  ポリシー名です。
  脱着
  ポリシーの説明です。
RAMロールに権限を付与します。
1. 左側のナビゲーションペインで、[ID] > [ロール] を選択します。
2. RAMロールを見つけ、[操作] 列の [権限の付与] をクリックします。
3. 手順2で作成したポリシーを選択し、[OK] をクリックします。
4. 閉じるをクリックします。

パラメーター	説明
名前	ポリシー名です。
脱着	ポリシーの説明です。

前提条件

ソースLogstoreのログデータを分析する権限をRAMロールに付与する

認証の完全一致

承認のためのファジーマッチ

RAMロールに、宛先Logstoreにデータを書き込む権限を付与する

認証の完全一致

承認のためのファジーマッチ