文档中心

日志服务

权限管理

通过 STS 访问日志服务

您可以通过安全令牌服务 STS 服务申请临时安全令牌，使指定的 IAM 用户在指定时间内访问权限范围内的日志服务资源。本文介绍如何使用 STS 临时安全令牌访问日志服务。

背景信息

STS 是火山引擎提供的一种临时访问权限管理服务，主要用于授权第三方临时访问云服务。例如通过日志服务 SDK 直接上传日志数据到日志服务的场景中，出于安全考虑，不建议将火山引擎账号或 IAM 用户的访问密钥保存在客户端代码中。此时您可以在应用的服务端通过 STS 服务获取临时安全令牌，将临时安全令牌下发给客户端，为第三方自建应用或 IAM 用户颁发一个可以自定义时效和访问权限的临时身份凭证。

相对于使用火山引擎访问密钥，临时安全令牌具备如下优势：

使用临时安全令牌，可减少火山引擎访问密钥泄露的风险。

临时安全令牌可设置自定义时效，到期后自动失效。

临时安全令牌可绑定自定义的权限策略，进一步约束临时安全令牌使用者的权限范围，便于权限的精细化管理。

业务流程

操作步骤

1 创建 IAM 角色并授予日志服务权限

IAM 角色是一种虚拟用户，无永久的身份凭证，只能通过 STS 获取可以自定义时效和访问权限的临时安全令牌，且需要被一个可信的实体身份扮演。在本示例中，您需要创建一个 IAM 角色并为其授权，指定 IAM 角色在被 IAM 用户扮演时所拥有的日志服务资源访问权限。

通过火山引擎主账号登录访问控制 IAM 控制台。

在左侧导航栏中，单击角色管理。

在角色管理页面，单击新建角色。

在新建角色面板中，设置选择信任身份类型为账号，设置选择身份为当前账号，然后单击下一步。

说明

创建 IAM 角色时授权账号只能设置为本账号，您需要在3 为 IAM 用户授予扮演 IAM 角色的权限和调用 AssumeRole 的权限中变更授权账号为指定的 IAM 用户，便于后续使用 IAM 用户扮演此角色。

设置角色名，然后单击下一步。

选择 TLSReadOnlyAccess 权限策略，然后单击提交。

此处以为 IAM 角色授予系统默认权限 TLSReadOnlyAccess 为例。授权后，该 IAM 角色具备所有日志服务资源和页面的只读权限。您也可以根据业务需求，创建自定义权限策略。具体步骤请参考新建自定义策略，具体的可授权操作与资源说明请参考可授权的操作与可授权的资源。

注意

出于策略最小化的原则，请谨慎设置 IAM 角色权限。例如在免密登录与控制台内嵌场景下，推荐仅设置指定 Project 或 Topic 的数据查看权限，不设置任何的变更操作权限。

保存 IAM 角色的 TRN。

在角色管理页面，单击您所创建的 IAM 角色名称。

在角色详情页面，获取该角色的角色TRN。

在调用 AssumeRole 接口时，需要输入该 TRN。

2 创建 IAM 用户

IAM 用户是一种实体身份类型，拥有确定的身份 ID 和身份凭证、独立的登录密码和访问密钥。您需要创建一个 IAM 用户，用于扮演 IAM 角色，便于后续获取临时安全令牌。本文以通过用户名创建为例，其他创建方式请参考创建用户。

说明

日志服务推荐您在日常操作与数据资源管理的场景下使用 IAM 用户进行访问与鉴权，降低火山引擎账号密钥泄露的风险。

在左侧导航栏中，选择用户管理 > 用户。

在用户页面，单击新建用户。

在创建用户页面，单击通过用户名创建。

设置用户名，在访问方式中开启编程访问，然后单击下一步。

在权限设置步骤，单击下一步。

在审阅步骤，确认用户名信息，单击下一步，然后根据界面提示完成创建。

3 授予 IAM 用户扮演 IAM 角色的权限

完成此授权后，IAM 用户才能扮演 IAM 角色去获取 IAM 角色的临时安全令牌，并访问 IAM 角色权限范围内的日志服务资源。

此环节的授权包括以下两部分，均为必选设置。

为 IAM 角色设置信任策略。

创建 IAM 角色时，默认的可信实体为火山引擎账号，您需要修改 IAM 角色的信任策略，将 Principal 中的账号配置修改为您在2 创建 IAM 用户中创建的 IAM 用户，表示该 IAM 角色可以被指定的 IAM 用户扮演。

为 IAM 用户授予 STSAssumeRoleAccess 权限策略。

为 IAM 用户授予 STSAssumeRoleAccess 权限策略后，您才能使用 IAM 用户的访问密钥调用 AssumeRole 接口申请临时安全令牌。

授权步骤如下：

修改 IAM 角色的信任策略。

在左侧导航栏中，单击角色管理。

在角色管理页面，找到并单击您在步骤 1 中创建的角色。

在角色详情页面，单击信任关系。

在信任关系页签，单击编辑信任策略。

修改信任策略中的 IAM 字段，并单击保存。

将 trn 中默认指定的 root 改为 user/${IAMUserName}，例如 user/TLSUser。以下述信任策略为例，该策略表示此 IAM 角色可以被火山引擎账号 21000**** 下的 IAM 用户 TLSUser 扮演。

{
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Principal": {
"IAM": [
"trn:iam::21000****:user/TLSUser"
]
}
}
]
}

为 IAM 用户授予 STSAssumeRoleAccess 权限。

在左侧导航栏中，选择用户管理 > 用户。

在用户页面，找到并单击您在2 创建 IAM 用户中创建的用户。

在用户详情页面，选择权限 > 直接附加权限，然后单击添加权限。

在添加权限面板，选择 STSAssumeRoleAccess 权限策略，并单击提交。

4 调用 AssumeRole 获取临时安全令牌

IAM 用户将通过扮演 IAM 角色来调用安全令牌服务的 AssumeRole 接口，并获取 IAM 角色的临时安全令牌。临时安全令牌包括临时访问密钥（AccessKeyId和SecretAccessKey）和临时 Token（SessionToken）。

请求示例如下，其中参数 RoleTrn 应指定为您在步骤 1 中创建的 IAM 角色的TRN。

AssumeRole 接口的返回示例如下：

5 使用临时安全令牌访问日志服务

获取临时安全令牌后，您可以通过该临时安全令牌完成 SDK 鉴权，然后通过 SDK 访问日志服务。日志服务提供的 SDK 以及相关示例代码请参考 SDK 列表。例如参考如下 Python SDK 示例，完成创建日志项目、创建日志主题、配置索引、写入日志、消费日志及查询日志等操作。

说明

临时安全令牌默认有效期为 1 小时，到期后需要及时更新临时安全令牌。

您可以通过 AssumeRole 的 DurationSeconds 参数设置临时安全令牌的有效期。DurationSeconds 参数单位为秒，最大可设置 12 小时。

最近更新时间：2025.11.27 10:25:52

这个页面对您有帮助吗？

有用

无用