# 跨租户转储授权 #### 操作场景 如果用户想要对管理类事件进行统一管理，可以设置管理类追踪器将多个账号记录的事件统一转储到一个OBS桶。本节介绍如何配置跨租户转储。 #### 使用限制 使用组织（Organizations）云服务的服务控制策略（Service Control Policy，SCP）管理成员账号时，该场景需要配置Action:GetBucketAcl、Action:HeadBucket和Action:ListBucket。其他场景仅需配置Action:HeadBucket和Action:ListBucket。配置服务控制策略的详细操作，请参考[如何通过Organizations服务的服务控制策略，限制OBS桶的转储范围？](https://support.huaweicloud.com/cts_faq/cts_faq_0928.html) #### 授权跨租户转储 1. 租户B登录管理控制台。 ![](https://support.huaweicloud.com/usermanual-cts/public_sys-resources/note_3.0-zh-cn.png) - 租户A为需要配置跨租户转储的账号，租户B为OBS桶所在的账号。 - OBS不支持跨region转储，目前OBS桶所处区域只能是不同租户的同一个region。 2. 在管理控制台左上角单击![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002416552885.png)图标，选择区域和项目。 3. 单击左上角![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002416512729.png)，选择"存储 \> 对象存储服务OBS"，进入对象存储服务详情页面。 4. 左侧导航栏选择"桶列表"。在桶列表单击云审计服务需要配置转储的桶名称，进入"对象"页面。 5. 在左侧导航栏，单击"桶策略"。 6. 在界面右上方选择"JSON视图"，单击"编辑"，按照如下格式给租户A授权，其中以下字段需要根据实际值填写。 - 租户A的domainId - exampleBucketName - provider-name - agency_name 桶策略由JSON描述，详细格式定义请参考[桶策略参数说明](https://support.huaweicloud.com/perms-cfg-obs/obs_40_0041.html)。 根据租户A登录方式的不同，桶策略有不同的授权对象，包含以下场景：以普通用户登录租户A账号、以联邦租户登录租户A账号、以委托身份切换到租户A账号、以IAM身份中心用户登录租户A账号。 其中，使用组织（Organizations）云服务的服务控制策略 (Service Control Policy，SCP)管理成员账号进行配置时，必选Action:GetBucketAcl，其他场景无需配置。 - 以普通用户登录租户A配置CTS追踪器： ``` { "Statement": [{ "Sid": "xxxx", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/cts_admin_trust" ] }, "Action": [ "PutObject" ], "Resource": [ "exampleBucketName/*" ] }, { "Sid": "xxxx1", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:user/*" ] }, "Action": [ "HeadBucket", "ListBucket", "GetBucketAcl" ], "Resource": [ "exampleBucketName" ] } ] } ``` - 以联邦租户登录租户A配置CTS追踪器： ``` { "Statement": [{ "Sid": "xxxx", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/cts_admin_trust" ] }, "Action": [ "PutObject" ], "Resource": [ "exampleBucketName/*" ] }, { "Sid": "xxxx1", "Effect": "Allow", "Principal": { "Federated": [ "domain/租户A的domainId:identity-provider/provider-name" ] }, "Action": [ "HeadBucket", "ListBucket", "GetBucketAcl" ], "Resource": [ "exampleBucketName" ] } ] } ``` - 以委托身份切换到租户A账号配置CTS追踪器： ``` { "Statement": [{ "Sid": "xxxx", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/cts_admin_trust" ] }, "Action": [ "PutObject" ], "Resource": [ "exampleBucketName/*" ] }, { "Sid": "xxxx1", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/agency_name" ] }, "Action": [ "HeadBucket", "ListBucket", "GetBucketAcl" ], "Resource": [ "exampleBucketName" ] } ] } ``` - 以IAM身份中心用户登录租户A账号配置CTS追踪器： ![](https://support.huaweicloud.com/usermanual-cts/public_sys-resources/note_3.0-zh-cn.png) 此处的agency_name是IAM身份中心在租户A账号下面创建的委托，委托对象是IAM身份中心，委托名称格式如下图所示。 ![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002383033428.png "点击放大") ``` { "Statement": [{ "Sid": "xxxx", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/cts_admin_trust" ] }, "Action": [ "PutObject" ], "Resource": [ "exampleBucketName/*" ] }, { "Sid": "xxxx1", "Effect": "Allow", "Principal": { "ID": [ "domain/租户A的domainId:agency/agency_name" ] }, "Action": [ "HeadBucket", "ListBucket", "GetBucketAcl" ], "Resource": [ "exampleBucketName" ] } ] } ``` 表1桶策略参数说明 | 参数 | 描述 | |:---|:---| | Sid | statement Id，描述statement的字符串。 | | Action | 指定本条statement作用的操作，Action字段为OBS支持的所有操作集合，以字符串形式表示，不区分大小写。CTS只需要"GetBucketAcl"、"HeadBucket"和"ListBucket"三个Action。 | | Effect | 指定本条statement的权限是允许还是拒绝，Effect的值必须为Allow或者Deny。 | | Principal | 桶策略被授权租户A，domainId可以通过控制台在"我的凭证"页面获取。Principal格式： - "domain/账号ID:agency/cts_admin_trust"（表示授权给租户A下的cts_admin_trust委托，即CTS服务可通过该委托来转储日志到OBS桶）。参考[桶策略参数说明](https://support.huaweicloud.com/perms-cfg-obs/obs_40_0041.html)。 - "domain/账号ID:user/\*"（表示授权给租户A下的所有子用户）。 - "domain/账号ID:identity-provider/provider-name"（表示授权给租户A下的指定身份提供商名称）。 | | Resource | 指定statement起作用的一组资源，支持通配符"\*"，表示所有资源。CTS配置跨账号转储时需要*exampleBucketName* /\*和*exampleBucketName*。 | 7. 单击"保存"，完成桶策略配置。 8. 如果租户B下的OBS桶配置了桶加密功能，且加密密钥类型选择了"自定义密钥"，则需要在密码安全中心(DEW)对租户A进行授权，详细操作请参考[创建授权](https://support.huaweicloud.com/usermanual-dew/dew_01_0096.html)。 ![](https://support.huaweicloud.com/usermanual-cts/public_sys-resources/note_3.0-zh-cn.png) 跨租户桶配置加密时，建议使用自定义密钥。默认密钥有可能使用租户A的OBS默认密钥进行加密，会存在租户B无法下载转储文件的风险。 ![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002416512733.png "点击放大") 9. 租户A登录管理控制台。 10. 在管理控制台左上角单击![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002383033432.png)图标，选择区域和项目。 11. 单击左上角![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002416552897.png)，选择"管理与监管 \>云审计服务 CTS"，进入云审计服务详情页面。 12. 单击左侧导航树的"追踪器"，进入追踪器信息页面。 13. 在管理事件追踪器信息右侧，单击操作下的"配置"，单击"下一步"。 14. 开启"转储到OBS"的开关![](https://support.huaweicloud.com/usermanual-cts/zh-cn_image_0000002383033436.png)，OBS桶所属用户设置为"其他用户"，需要手动输入待转储的租户B已授权OBS桶的桶名。 15. 单击"配置"，完成配置追踪器。