通过跨IAM账号接入LTS采集数据

在企业中，不同部门或者团队可能使用不同的IAM（Identity and Access Management）账号来管理各自的资源，这样导致日志数据分散，难以统一管理和分析。为解决这一问题，华为云提供了云日志服务（LTS）支持跨IAM账号的日志数据接入。通过跨IAM账号接入LTS采集数据，可以实现统一管理、实时监控和安全隔离，从而提高管理效率和数据安全性。本文档将介绍如何通过跨IAM账号接入LTS采集数据的最佳实践。

前提条件

准备两个IAM账号，分别记为账号A和账号B。其中账号A为委托账号，账号B为被委托账号。

限制条件

数据未同步完成前，目标日志流数据与源日志流可能会有一定偏差。建议1小时后，查看接入数据。

创建委托

使用委托账号A登录IAM控制台。
在统一身份认证服务的左侧导航窗格中，选择“委托”页签，单击右上方的“创建委托”。
在创建委托页面，配置委托名称、委托类型和委托账号等参数信息，具体操作请参考创建委托和授权。

被委托账号必须要授权Agent Operator系统角色，用于被委托账号在使用LTS委托功能时进行委托校验。授权时Agent Operator选择授权范围方案为“所有资源”，授权成功后，在授权记录查看Agent Operator的“项目[所属区域]”显示为“所有资源 [包含未来新增项目]”，如果不是，请参考创建用户组并授权重新授权。

跨账号接入LTS

使用被委托账号B登录云日志服务控制台。
在左侧导航栏中，选择“日志接入 > 接入中心”，单击“跨账号接入 - 日志流映射”进行跨账号接入配置。

或在左侧导航栏中，选择“日志接入 > 接入管理”，单击“创建”，在弹出的页面中，选择“跨账号接入 - 日志流映射”进行跨账号接入配置。

配置委托参数，完成后，单击“下一步：日志流映射”。。

表1 委托参数
参数	说明
委托名称	填写委托人在IAM中创建的委托名称。委托人账号可通过创建委托将资源管理权限委托给其他华为云账号。
委托人账号名称	创建委托时的账号名称，用来验证委托关系。

在日志流映射页面，配置接入规则。有两种方式：自动配置和手动配置。

自动配置

在日志流映射页面，单击“自动配置”。

在弹出的自动配置页面中，配置相关参数信息，完成后，单击“确定”。

表2 自动配置接入规则
参数	说明
规则名称前缀	填写规则名称前缀，自动配置将使用您配置的规则名称前缀，产生多条接入规则。只支持输入英文、数字、中文、中划线、下划线及小数点，且不能以小数点、下划线开头或以小数点结尾。可不填写，默认规则名称前缀为rule。
从委托账号中选择您希望接入的日志组/日志流	选择希望接入的日志组/日志流，最多支持选择20条。

通过自动配置的接入规则，被委托方中的目标日志组、目标日志流名称默认同委托方中源日志组、源日志流名称保持一致，也支持手动修改。

单击“预览”，查看预览结果。
预览结果有两种：
- 将创建新的目标日志流：被委托方中新建的目标日志组/日志流。
- 接入已存在的目标日志流：被委托方中已存在的目标日志组/日志流。
预览完成后，单击“提交”。

手动配置

在日志流映射页面，单击“添加规则”，参考手动配置参数设置规则。

表3 手动配置参数
参数		说明
规则名称		默认为rule_xxx，也可根据您的需要进行自主命名。只支持输入英文、数字、中文、中划线、下划线及小数点，且不能以小数点、下划线开头或以小数点结尾。
委托方	源日志组	委托方的日志组，在原有的日志组中进行选择。
委托方	源日志流	委托方的日志流，在原有的日志流中进行选择。
被委托方	目标日志组	被委托方的日志组，可在原有的日志组中进行选择或直接输入名称进行新建日志组。
被委托方	目标日志流	被委托方的日志流，可在原有的日志流中进行选择或直接输入名称进行新建日志流。