企业上云如何对 SLS 日志审计服务进行权限控制
2026-01-03 01:32:57
企业上云后，可通过RAM（资源访问管理）对SLS日志审计服务进行权限控制，具体方法如下：
一、明确日志审计场景下的资源类型- 日志审计APP：用于统一管理日志审计配置，访问地址为https://sls.console.aliyun.com/lognext/app/audit/audit_global_config。
- 存储审计日志的Project资源：包括Project、Logstore、索引、报表、数据加工任务等，分为两类：
中心Project：命名格式为slsaudit-center-${uid}-${region}。
区域Project：命名格式为slsaudit-region-${uid}-${region}。
按权限从大到小分为以下四类账号，需根据实际场景分配权限：
主账号
权限：天然拥有日志审计APP及所有Project资源的完全控制权。
使用场景：不建议直接使用，避免权限过度集中风险。
首次开通的写权限子账号
系统权限策略：需附加AliyunRAMFullAccess或AliyunSTSAssumeRoleAccess，用于自动创建内置角色（如sls-audit-service-dispatch）。
自定义最小权限：
允许操作：查看/配置日志审计APP、查看Project数据、创建Project。
资源范围：acs:log:*:*:app/audit及acs:log:*:*:project/slsaudit-*。
非首次开通的写权限子账号
系统权限策略：仅需AliyunRAMReadOnlyAccess或AliyunSTSAssumeRoleAccess。
自定义最小权限：与首次开通子账号相同，但无需重复创建内置角色。
只读权限子账号
系统权限策略：同非首次开通子账号。
自定义最小权限：仅允许查看日志审计APP及Project数据，禁止创建/修改操作。
- 自定义写权限策略（JSON示例）
- 自定义只读权限策略（JSON示例）
创建权限策略在RAM控制台新建自定义策略（如命名为audit_test），粘贴上述JSON代码并保存。
授权子账号在RAM用户列表中选择目标子账号，附加已创建的权限策略（如audit_test）。
验证权限使用子账号登录控制台，测试能否正常查看/修改日志审计配置，确认权限生效。
当子账号需继承较大权限（如AliyunLogFullAccess）但需排除日志审计配置权限时，可通过否定策略实现：
{ "Version": "1", "Statement": [ { "Effect": "Deny", "Action": ["log:CreateApp"], "Resource": ["acs:log:*:*:app/audit"] }, { "Effect": "Deny", "Action": ["log:CreateJob", "log:UpdateJob", "log:CreateProject"], "Resource": ["acs:log:*:*:project/slsaudit-*"] } ]}附加该策略后，子账号将无法操作日志审计APP及Project的创建/修改功能。
通过以上方法，企业可基于RAM实现SLS日志审计服务的精细化权限管控，满足多用户协同、最小权限分配等安全需求。
热门标签
