授权RAM用户管理日志转存服务

适用场景

步骤一：创建自定义权限策略

1. 登录RAM控制台。
2. 在左侧导航栏，选择权限管理 > 权限策略。
3. 单击创建权限策略。

4. 单击脚本编辑页签，输入权限策略内容。

   关于权限策略语法结构的详情，请参见权限策略语法和结构。

   图 1. 脚本编辑

   为RAM用户授予日志转存服务的所有权限，包含开通、管理、查询、编辑和关闭日志转存服务。自定义权限策略如下：

   说明 如果您只希望授予RAM用户部分权限，授权时仅添加需要的接口权限即可。

   {
       "Statement": [
           {
               "Action": "ram:CreateServiceLinkedRole",
               "Resource": "acs:ram:*:*:role/*",
               "Effect": "Allow",
               "Condition": {
                   "StringEquals": {
                       "ram:ServiceName": [
                           "logdelivery.cdn.aliyuncs.com"
                       ]
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cdn:DescribeUserDomains",
                   "cdn:CreateCdnDomainOfflineLogDelivery",
                   "cdn:DescribeCdnOfflineLogDeliveryStatus",
                   "cdn:DescribeCdnOfflineLogDelivery",
                   "cdn:DescribeCdnOfflineLogDeliveryField",
                   "cdn:DescribeCdnOfflineLogDeliveryRegions",
                   "cdn:DisableCdnDomainOfflineLogDelivery",
                   "cdn:DisableCdnOfflineLogDelivery",
                   "cdn:EnableCdnDomainOfflineLogDelivery"
               ],
               "Resource": "acs:cdn:*:*:*"
           }
       ],
       "Version": "1"
   }

   下表为您列出了自定义权限策略中涉及的各API接口的详细信息。

   API	是否必须	用途	说明
   DescribeUserDomains	是	查询所有域名	为RAM用户授予该接口权限后，RAM用户可以查询CDN上的所有域名。配置日志转存服务的时候，需要查询阿里云账号下的域名。
   CreateCdnDomainOfflineLogDelivery	否	开通日志转存服务	如果您不希望RAM用户拥有开通日志转存服务的权限，请勿授权该接口。
   DescribeCdnOfflineLogDeliveryStatus	是	查询是否已开通日志转存服务	RAM用户查询日志转存服务的开通状态和开通日志转存服务，均需要授权该接口权限。
   DescribeCdnOfflineLogDelivery	是	查询日志转存服务的域名相关信息	为RAM用户授予该接口权限后，RAM用户可以查询已经开通了日志转存服务的所有域名的信息。
   DescribeCdnOfflineLogDeliveryField	是	查询支持的日志转存字段	RAM用户查询和开通日志转存服务过程中均需要具备该接口权限。
   DescribeCdnOfflineLogDeliveryRegions	是	查询日志转存服务支持的地域	无
   DisableCdnDomainOfflineLogDelivery	否	关闭已开通日志转存服务的域名	为RAM用户授予该接口权限后，RAM用户可以关闭已经开通了日志转存服务的全部域名，请谨慎授权。
   EnableCdnDomainOfflineLogDelivery	否	为新域名开通日志转存服务	为RAM用户授予该接口权限后，RAM用户可以在日志转存服务中新增域名，为新域名开通日志转存服务，请谨慎授权。
   DisableCdnOfflineLogDelivery	否	关闭日志转存服务	为RAM用户授予该接口权限后，RAM用户拥有关闭整个日志转存服务的权限。服务被关闭后需重新开启及配置，请谨慎授权。

5. 单击页面上方的可选：高级策略优化，然后单击执行，对权限策略内容进行高级优化。

   高级权限策略优化功能会完成以下任务：

   • 拆分不兼容操作的资源或条件。

   • 收缩资源到更小范围。

   • 去重或合并语句。

6. 在创建权限策略页面，单击确定。

7. 在创建权限策略对话框，输入权限策略名称和备注，然后单击确定。

步骤二：为RAM用户授权

1. 登录RAM控制台。
2. 创建RAM用户。
   说明 如果您已经创建了RAM用户，可跳过该步骤。
3. 在左侧导航栏，选择身份管理 > 用户。
4. 找到目标RAM用户，单击操作列的添加权限。

5. 在新增授权面板，配置权限策略。

   图 2. 添加自定义策略

   配置项	说明
   资源范围	必须选择为账号级别，表示对应的权限应用范围为全局权限。不能选择资源组级别。
   授权主体	系统根据您之前选择的目标RAM用户，已自动填充。
   权限策略	选择权限为自定义策略，找到您在步骤一：创建自定义权限策略中创建的权限策略名称，并将其添加到已选择权限策略区域框中。 说明 如果RAM用户需要开通日志转存功能，则还需要授予RAM用户AliyunDLAFullAccess系统策略授权。如果未授权，RAM用户将无法开通日志转存功能。

6. 单击确认新增授权。

7. 单击关闭。