自定义授权日志采集与同步

操作步骤

1. 使用其他账号登录RAM 控制台。

   建议使用RAM用户登录，且该RAM用户需具备RAM读写权限（例如已被授予AliyunRAMFullAccess策略）。

2. 创建权限策略AliyunLogAuditServiceMonitorAccess。

   1. 在左侧导航栏中，选择权限管理 > 权限策略，单击创建权限策略。

   2. 在创建权限策略页面中，单击脚本配置。

      将配置框中的原有脚本替换为如下内容。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": "log:*",
                  "Resource": [
                      "acs:log:*:*:project/slsaudit-*",
                      "acs:log:*:*:app/audit"
                  ],
                  "Effect": "Allow"
              },
              {
                  "Action": [
                      "rds:ModifySQLCollectorPolicy",
                      "vpc:*FlowLog*",
                      "drds:*SqlAudit*",
                      "kvstore:ModifyAuditLogConfig",
                      "polardb:ModifyDBClusterAuditLogCollector",
                      "config:UpdateIntegratedServiceStatus",
                      "config:StartConfigurationRecorder",
                      "config:PutConfigurationRecorder",
                      "pvtz:DescribeResolveAnalysisScopeStatus",
                      "pvtz:SetResolveAnalysisScopeStatus"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              },
              {
                  "Action": "ram:CreateServiceLinkedRole",
                  "Resource": "*",
                  "Effect": "Allow",
                  "Condition": {
                      "StringEquals": {
                          "ram:ServiceName": [
                              "config.aliyuncs.com",
                              "pvtz.aliyuncs.com"
                          ]
                      }
                  }
              }
          ]
      }

   3. 单击继续编辑基本信息，配置如下参数，并单击确定。

      参数	说明

      参数	说明
      名称	配置为AliyunLogAuditServiceMonitorAccess。
      备注	创建策略的简单注释。

3. 创建sls-audit-service-monitor角色。

   1. 在左侧导航栏中，选择身份管理 > 角色，然后单击创建角色。

   2. 在选择类型配置向导中，选择阿里云服务，单击下一步。

   3. 在配置角色配置向导中，配置如下参数后，然后单击完成。

      参数	说明

      参数	说明
      角色类型	选择普通服务角色。
      角色名称	配置为sls-audit-service-monitor。
      选择受信服务	选择日志服务。

   4. 在创建完成配置向导中，单击为角色授权。

   5. 单击新增授权。

4. 授予sls-audit-service-monitor角色AliyunLogAuditServiceMonitorAccess策略。

   在新增授权面板中，选择自定义策略下的AliyunLogAuditServiceMonitorAccess策略和系统策略下的ReadOnlyAccess策略。单击确定。

5. 修改sls-audit-service-monitor角色的信任策略。

   1. 在信任策略管理页签，单击编辑信任策略，将配置框中的原有脚本替换为如下内容，然后单击保存信任策略。

      其中，中心主账号ID请根据实际值替换，您可以在账号中心查看阿里云账号的ID。

       {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "中心主账号ID@log.aliyuncs.com",
                          "log.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }