授权RAM角色读取Logstore数据

为默认角色授权

操作步骤

1. 使用阿里云账号（主账号）或RAM用户登录阿里云控制台。

2. 单击云资源访问授权完成授权。

   说明

   • 如果阿里云主账号没有默认角色AliyunLogDefaultRole，RAM用户只有第一次单击后会生成该角色。

   • 日志服务扮演AliyunLogDefaultRole角色来访问您在其他云产品中的资源。

   • 默认角色AliyunLogDefaultRole的权限策略请参见AliyunLogDefaultRole。

为自定义角色授权

操作步骤

授予RAM角色读取Logstore数据的权限后，MaxCompute投递任务可以使用该角色读取Logstore中的数据。

1. 使用阿里云账号（主账号）或RAM管理员登录RAM控制台。

2. 创建阿里云服务需要扮演的RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。

   重要

   • 创建RAM角色时，必须选择可信实体类型为阿里云服务，且必须选择受信服务为日志服务。

   • 请检查角色的信任策略如下，Service内容至少包含"log.aliyuncs.com"。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": [
               "log.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

3. 创建一个自定义权限策略，该策略具备读取Logstore数据的权限。

   您可选择使用精确授权或模糊匹配授权。

   精确授权

   在创建权限策略页面，单击脚本编辑页签，并使用以下脚本替换配置框中的原有内容。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   重要

   脚本中的Project名称和Logstore名称请根据实际情况替换。

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/Project名称/logstore/Logstore名称"
               ],
               "Effect":"Allow"
           }
       ]
   }

   模糊匹配授权

   在创建权限策略页面，单击脚本编辑页签，并使用以下脚本替换配置框中的原有内容。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   重要

   • 例如Project名称为log-project-dev-a、log-project-dev-b、log-project-dev-c等，Logstore名称为website_a_log、website_b_log、website_c_log等，则您可以使用模糊匹配授权。

   • 脚本中的log-project-dev-*和website_*_log*请根据实际情况替换。

   {
       "Version":"1",
       "Statement":[
           {
               "Action":[
                   "log:GetCursorOrData",
                   "log:ListShards"
               ],
               "Resource":[
                   "acs:log:*:*:project/log-project-dev-*/logstore/website_*_log*"
               ],
               "Effect":"Allow"
           }
       ]
   }

4. 为RAM角色添加创建的自定义权限。具体操作，请参见为RAM角色授权。