操作步驟

1. 使用其他賬號(hào)登錄RAM 控制臺(tái)。

   建議使用RAM用戶登錄，且該RAM用戶需具備RAM讀寫權(quán)限（例如已被授予AliyunRAMFullAccess策略）。

2. 創(chuàng)建權(quán)限策略AliyunLogAuditServiceMonitorAccess。

   1. 在左側(cè)導(dǎo)航欄中，選擇權(quán)限管理 > 權(quán)限策略，單擊創(chuàng)建權(quán)限策略。

   2. 在創(chuàng)建權(quán)限策略頁(yè)面中，單擊腳本配置。

      將配置框中的原有腳本替換為如下內(nèi)容。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "log:*",
                  "Resource": [
                      "acs:log:*:*:project/slsaudit-*",
                      "acs:log:*:*:app/audit"
                  ],
                  "Effect": "Allow"
              },
              {
                  "Action": [
                      "rds:ModifySQLCollectorPolicy",
                      "vpc:*FlowLog*",
                      "drds:*SqlAudit*",
                      "kvstore:ModifyAuditLogConfig",
                      "polardb:ModifyDBClusterAuditLogCollector",
                      "config:UpdateIntegratedServiceStatus",
                      "config:StartConfigurationRecorder",
                      "config:PutConfigurationRecorder",
                      "pvtz:DescribeResolveAnalysisScopeStatus",
                      "pvtz:SetResolveAnalysisScopeStatus"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              },
              {
                  "Action": "ram:CreateServiceLinkedRole",
                  "Resource": "*",
                  "Effect": "Allow",
                  "Condition": {
                      "StringEquals": {
                          "ram:ServiceName": [
                              "config.aliyuncs.com",
                              "pvtz.aliyuncs.com"
                          ]
                      }
                  }
              }
          ]
      }

   3. 單擊繼續(xù)編輯基本信息，配置如下參數(shù)，并單擊確定。

      參數(shù)	說(shuō)明
      名稱	配置為AliyunLogAuditServiceMonitorAccess。
      備注	創(chuàng)建策略的簡(jiǎn)單注釋。

3. 創(chuàng)建sls-audit-service-monitor角色。

   1. 在左側(cè)導(dǎo)航欄中，選擇身份管理 > 角色，然后單擊創(chuàng)建角色。

   2. 在選擇類型配置向?qū)е校x擇阿里云服務(wù)，單擊下一步。

   3. 在配置角色配置向?qū)е校渲萌缦聟?shù)后，然后單擊完成。

      參數(shù)	說(shuō)明
      角色類型	選擇普通服務(wù)角色。
      角色名稱	配置為sls-audit-service-monitor。
      選擇受信服務(wù)	選擇日志服務(wù)。

   4. 在創(chuàng)建完成配置向?qū)е校瑔螕?b data-tag="uicontrol" id="uicontrol-dgm-gp9-gup" class="uicontrol">為角色授權(quán)。

   5. 單擊新增授權(quán)。

4. 授予sls-audit-service-monitor角色AliyunLogAuditServiceMonitorAccess策略。

   在新增授權(quán)面板中，選擇自定義策略下的AliyunLogAuditServiceMonitorAccess策略和系統(tǒng)策略下的ReadOnlyAccess策略。單擊確定。

5. 修改sls-audit-service-monitor角色的信任策略。

   1. 在信任策略管理頁(yè)簽，單擊編輯信任策略，將配置框中的原有腳本替換為如下內(nèi)容，然后單擊保存信任策略。

      其中，中心主賬號(hào)ID請(qǐng)根據(jù)實(shí)際值替換，您可以在賬號(hào)中心查看阿里云賬號(hào)的ID。

       {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "中心主賬號(hào)ID@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }