一、简介
| 资源类型 | 授权策略中的资源描述方法 | 按标签授权 |
| 日志集 | qcs::cls:$region:$account:logset/*qcs::cls:$region:$account:logset/$logsetId | 支持 |
| 日志主题 | qcs::cls:$region:$account:topic/*qcs::cls:$region:$account:topic/$topicId | 支持 |
| 机器组 | qcs::cvm:$region:$account:machinegroup/*qcs::cvm:$region:$account:machinegroup/$machinegroupId | 支持 |
| 采集配置 | qcs::cls:$region:$account:config/*qcs::cls:$region:$account:config/$configId | 不支持 |
| 仪表盘（无地域资源） | qcs::cls::$account:dashboard/*qcs::cls::$account:dashboard/$dashboardId | 支持 |
| 告警策略 | qcs::cls:$region:$account:alarm/*qcs::cls:$region:$account:alarm/$alarmId | 支持 |
| 通知渠道组 | qcs::cls:$region:$account:alarmNotice/*qcs::cls:$region:$account:alarmNotice/$alarmNoticeId | 支持 |
| 数据加工任务 | qcs::cls:$region:uin/$account:datatransform/*qcs::cls:$region:uin/$account:datatransform/$TaskId | 不支持 |
| 投递任务（COS） | qcs::cls:$region:$account:shipper/*qcs::cls:$region:$account:shipper/$shipperId | 不支持 |
| DataSight 独立控制台（无地域资源） | qcs::cls::$account:datasight/* qcs::cls::$account:datasight/datasightId |
支持 |
| 其他资源类型（已废弃，仅老版本 API 使用） | 仪表盘内的单个图表：qcs::cls:$region:$account:chart/*qcs::cls:$region:$account:chart/$chartId | 不支持 |
其中，$region、$account等变量参数需修改为你实际的参数信息，仪表盘为无地域资源，不需要填写region参数。
日志服务支持的所有接口及其对应的资源描述方法，参见支持 CAM 的业务接口 > 存储 > 存储数据服务 > 日志服务。其中，“授权粒度”为“资源级”的接口支持以上述资源类型按资源方式为用户配置权限，“授权粒度”为“操作级”的接口在 CAM 权限策略中对应的资源范围必须为*。
二、实践建议
由于日志服务中不同类型的资源之间具备关联关系，例如日志集包含日志主题，日志主题需应用采集配置至机器组；如果直接按照资源 ID 的方式在 CAM 权限策略中为用户配置权限存在较大的管理难度，容易导致用户在部分接口下出现无权限错误。因此，建议按照如下方式配置 CAM 权限策略：
·针对支持按标签授权的资源类型及对应接口，为相关的资源绑定标签，然后通过标签的方式指定用户具备操作权限的资源范围。例如同时为日志主题、日志集及相关的仪表盘绑定标签，然后 对指定标签的日志主题赋予管理权限（含日志集），对指定标签的仪表盘赋予管理权限。这两条策略可以使用户同时具备这三类资源相关接口的操作权限。
·针对不支持按标签授权的资源类型及对应接口，为简化管理，可直接以*作为 CAM 权限策略中的资源范围，即所有资源。为避免普通用户误操作，可针对普通用户配置只读权限，针对管理用户配置管理权限，例如 管理权限：对所有数据加工任务具备管理权限 和 只读权限：对所有数据加工任务具备只读权限。
注意：说明：
注意：更多使用场景，请参见 CLS 访问策略模板。