日志服务数据加工中源与目标访问密钥配置

数码系统

相机 win10

测评 win11

手机智车

华为 Tesla

小米理想

苹果蔚来

游戏软件

LOL 抖音

原神微信

当前位置：首页

AI教程

日志服务数据加工中源与目标访问密钥配置

热心网友时间：2026-07-01

转载

日志服务的数据加工功能，其运作机制其实并不复杂：首先从源LogStore拉取原始数据，经过一系列加工处理，最终将结果写入目标LogStore。整个过程类似于一条流水线，而起始和结束阶段都绕不开一个核心问题——即对LogStore的访问权限配置。

使用主账号AccessKey虽然最简便，只需勾选即可运行，无需额外配置。但从账号安全角度考量，这种做法风险较大，强烈推荐采用子账号进行细粒度授权。接下来我们将逐步解析，如何从零开始搭建这一权限体系。

首先，请登录RAM控制台，开始创建子账号并授权。

创建读取源LogStore的子账号

由源Project所属的主账号执行操作：

创建完成后，务必妥善保存子账号的AccessKey ID和Secret，后续配置中会用到。

设置源LogStore的读取权限

同样由源Project所属的主账号操作：

具体的授权策略如何配置？下面列举两个典型场景。

场景一：精确授权

假设源Project名为log-project-prod，LogStore名为access_log，则策略可编写如下：

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:ListShards",
                "log:GetCursorOrData",
                "log:GetConsumerGroupCheckPoint",
                "log:UpdateConsumerGroup",
                "log:ConsumerGroupHeartBeat",
                "log:ConsumerGroupUpdateCheckPoint",
                "log:ListConsumerGroup",
                "log:CreateConsumerGroup"
            ],
            "Resource": [
                "acs:log:*:*:project/log-project-prod/logstore/access_log",
                "acs:log:*:*:project/log-project-prod/logstore/access_log/*"
            ],
            "Effect": "Allow"
        }
    ]
}

场景二：模糊匹配授权

如果存在多套开发环境，例如log-project-dev-a、log-project-dev-b、log-project-dev-c，对应的LogStore分别为app_a_log、app_b_log、app_c_log，且命名有规律，则可使用通配符：

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:ListShards",
                "log:GetCursorOrData",
                "log:GetConsumerGroupCheckPoint",
                "log:UpdateConsumerGroup",
                "log:ConsumerGroupHeartBeat",
                "log:ConsumerGroupUpdateCheckPoint",
                "log:ListConsumerGroup",
                "log:CreateConsumerGroup"
            ],
            "Resource": [
                "acs:log:*:*:project/log-project-dev-*/logstore/app_*_log",
                "acs:log:*:*:project/log-project-dev-*/logstore/app_*_log/*"
            ],
            "Effect": "Allow"
        }
    ]
}

更多授权场景可参考官方文档。

将源读取权限绑定到子账号

由源Project所属的主账号操作：

创建写入目标LogStore的子账号

由目标Project所属的主账号操作，步骤与创建读取子账号完全相同。创建完成后同样需保存AccessKey ID/Secret。

配置目标LogStore的写入权限

由目标Project所属的主账号操作，方式与前面的读取权限配置类似，但操作列表不同。

场景一：精确授权

假设目标Project为log-project-prod，LogStore为access_log_output，策略内容如下：

{
    "Version": "1",
    "Statement": [
        {
            "Action": ["log:Post*"],
            "Resource": "acs:log:*:*:project/log-project-prod/logstore/access_log_output",
            "Effect": "Allow"
        }
    ]
}

场景二：模糊匹配授权

同样针对多套开发环境，目标Project为log-project-dev-a等，LogStore为app_a_log_output等，策略可使用通配符：

{
    "Version": "1",
    "Statement": [
        {
            "Action": ["log:Post*"],
            "Resource": "acs:log:*:*:project/log-project-dev-*/logstore/app_*_log_output",
            "Effect": "Allow"
        }
    ]
}

更多授权场景请参考官方文档。