為默認(rèn)角色授權(quán)

操作步驟

1. 使用阿里云賬號（主賬號）或RAM用戶登錄阿里云控制臺。

2. 單擊云資源訪問授權(quán)完成授權(quán)。

   說明

   • 如果阿里云主賬號沒有默認(rèn)角色AliyunLogDefaultRole，RAM用戶只有第一次單擊后會生成該角色。

   • 日志服務(wù)扮演AliyunLogDefaultRole角色來訪問您在其他云產(chǎn)品中的資源。

   • 默認(rèn)角色AliyunLogDefaultRole的權(quán)限策略請參見AliyunLogDefaultRole。

為自定義角色授權(quán)

操作步驟

授予RAM角色讀取Logstore數(shù)據(jù)的權(quán)限后，MaxCompute投遞任務(wù)可以使用該角色讀取Logstore中的數(shù)據(jù)。

1. 使用阿里云賬號（主賬號）或RAM管理員登錄RAM控制臺。

2. 創(chuàng)建阿里云服務(wù)需要扮演的RAM角色。具體操作，請參見創(chuàng)建可信實(shí)體為阿里云服務(wù)的RAM角色。

   重要

   • 創(chuàng)建RAM角色時，必須選擇可信實(shí)體類型為阿里云服務(wù)，且必須選擇受信服務(wù)為日志服務(wù)。

   • 請檢查角色的信任策略如下，Service內(nèi)容至少包含"log.aliyuncs.com"。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": [
               "log.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

3. 創(chuàng)建一個自定義權(quán)限策略，該策略具備讀取Logstore數(shù)據(jù)的權(quán)限。

   您可選擇使用精確授權(quán)或模糊匹配授權(quán)。

   精確授權(quán)

   在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯頁簽，并使用以下腳本替換配置框中的原有內(nèi)容。具體操作，請參見通過腳本編輯模式創(chuàng)建自定義權(quán)限策略。

   重要

   腳本中的Project名稱和Logstore名稱請根據(jù)實(shí)際情況替換。

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/Project名稱/logstore/Logstore名稱"
               ],
               "Effect":"Allow"
           }
       ]
   }

   模糊匹配授權(quán)

   在創(chuàng)建權(quán)限策略頁面，單擊腳本編輯頁簽，并使用以下腳本替換配置框中的原有內(nèi)容。具體操作，請參見通過腳本編輯模式創(chuàng)建自定義權(quán)限策略。

   重要

   • 例如Project名稱為log-project-dev-a、log-project-dev-b、log-project-dev-c等，Logstore名稱為website_a_log、website_b_log、website_c_log等，則您可以使用模糊匹配授權(quán)。

   • 腳本中的log-project-dev-*和website_*_log*請根據(jù)實(shí)際情況替換。

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
               ],
               "Effect":"Allow"
           }
       ]
   }

4. 為RAM角色添加創(chuàng)建的自定義權(quán)限。具體操作，請參見為RAM角色授權(quán)。