Control de acceso con IAM

En este documento, se describe cómo usar las funciones y los permisos de la administración de identidades y accesos (IAM) para controlar el acceso a los datos de registros en la API de Logging, el Explorador de registros y Google Cloud CLI.

Descripción general

Los permisos y las funciones de IAM determinan tu capacidad para acceder a los datos de registros en la API de Logging, en el Explorador de registros y en Google Cloud CLI.

Un rol es un conjunto de permisos. No puedes otorgar permisos principales directamente. En su lugar, les otorgas una función. Cuando otorgas un rol a una principal, le otorgas todos los permisos que el rol contiene. Puedes otorgar varios roles a la misma principal.

Para usar Logging dentro de un recurso de Google Cloud, como un proyecto, una carpeta, un bucket o una organización de Google Cloud, una principal debe tener un rol de IAM que contenga los permisos adecuados.

Roles predefinidos

IAM proporciona funciones predefinidas para otorgar acceso detallado a recursos específicos de Google Cloud y evitar el acceso no deseado a otros recursos. Google Cloud crea y mantiene estas funciones y actualiza de forma automática sus permisos según sea necesario, como cuando Logging agrega funciones nuevas.

En la siguiente tabla, se enumeran las funciones predefinidas de Logging. Para cada función, la tabla muestra el título de la función, la descripción, los permisos contenidos y el tipo de recurso de nivel más bajo en el que se pueden otorgar las funciones. Puedes otorgar las funciones predefinidas a nivel de proyecto de Google Cloud o, en la mayoría de los casos, cualquier tipo superior en la jerarquía de Google Cloud. Si deseas definir el alcance de la función de acceso de vista de registros de forma más precisa al nivel de bucket, usa los atributos de recursos para condiciones de IAM.

Para obtener una lista de todos los permisos individuales contenidos en una función, consulta Obtén los metadatos de la función.

Role	Permissions
Logging Admin (roles/logging.admin) Provides all permissions necessary to use all features of Cloud Logging. Lowest-level resources where you can grant this role: Project	logging.buckets.copyLogEntries logging.buckets.create logging.buckets.delete logging.buckets.get logging.buckets.list logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.fields.access logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.* logging.logEntries.create logging.logEntries.download logging.logEntries.list logging.logEntries.route logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logServiceIndexes.list logging.logServices.list logging.logs.* logging.logs.delete logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.privateLogEntries.list logging.queries.* logging.queries.create logging.queries.delete logging.queries.deleteShared logging.queries.get logging.queries.getShared logging.queries.list logging.queries.listShared logging.queries.share logging.queries.update logging.queries.updateShared logging.queries.usePrivate logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.usage.get logging.views.* logging.views.access logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues logging.views.setIamPolicy logging.views.update resourcemanager.projects.get resourcemanager.projects.list
Logs Bucket Writer (roles/logging.bucketWriter) Ability to write logs to a log bucket. Lowest-level resources where you can grant this role: Project	logging.buckets.write
Logs Configuration Writer (roles/logging.configWriter) Provides permissions to read and write the configurations of logs-based metrics and sinks for exporting logs. Lowest-level resources where you can grant this role: Project	logging.buckets.create logging.buckets.delete logging.buckets.get logging.buckets.list logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.update resourcemanager.projects.get resourcemanager.projects.list
Log Field Accessor (roles/logging.fieldAccessor) Ability to read restricted fields in a log bucket. Lowest-level resources where you can grant this role: Project	logging.fields.access
Log Link Accessor (roles/logging.linkViewer) Ability to see links for a bucket.	logging.links.get logging.links.list
Logs Writer (roles/logging.logWriter) Provides the permissions to write log entries. Lowest-level resources where you can grant this role: Project	logging.logEntries.create logging.logEntries.route
Private Logs Viewer (roles/logging.privateLogViewer) Provides permissions of the Logs Viewer role and in addition, provides read-only access to log entries in private logs. Lowest-level resources where you can grant this role: Project	logging.buckets.get logging.buckets.list logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.privateLogEntries.list logging.queries.create logging.queries.delete logging.queries.get logging.queries.getShared logging.queries.list logging.queries.listShared logging.queries.update logging.queries.usePrivate logging.sinks.get logging.sinks.list logging.usage.get logging.views.access logging.views.get logging.views.list resourcemanager.projects.get
Logs View Accessor (roles/logging.viewAccessor) Ability to read logs in a view. Lowest-level resources where you can grant this role: Project	logging.logEntries.download logging.views.access logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues
Logs Viewer (roles/logging.viewer) Provides access to view logs. Lowest-level resources where you can grant this role: Project	logging.buckets.get logging.buckets.list logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.operations.get logging.operations.list logging.queries.create logging.queries.delete logging.queries.get logging.queries.getShared logging.queries.list logging.queries.listShared logging.queries.update logging.queries.usePrivate logging.sinks.get logging.sinks.list logging.usage.get logging.views.get logging.views.list resourcemanager.projects.get

En las siguientes secciones, se proporciona información adicional para ayudarte a decidir qué funciones se aplican a los casos de uso de las principales.

Funciones de Logging

• Para permitir que un usuario realice todas las acciones en Logging, otorga la función de administrador de Logging (roles/logging.admin).

• Para permitir que un usuario cree y modifique configuraciones de registro, como receptores, buckets, vistas, vínculos, métricas basadas en registros o exclusiones, otorga la función de escritor de configuración de registros (roles/logging.configWriter).

• Para permitir que un usuario lea registros en los buckets de _Required y _Default, usa el Explorador de registros y la página Análisis de registros, otorga uno de los siguientes roles:

  • Para acceder a todos los registros del bucket _Required y a la vista _Default en el bucket _Default, otorga la función de visualizador de registros (roles/logging.viewer).
  • Para acceder a todos los registros en los buckets _Required y _Default, incluidos los registros de acceso a los datos, otorga la función de visualizador de registros privados (roles/logging.privateLogViewer).

• Para permitir que un usuario lea registros en todas las vistas de registro que están en un proyecto, otórgale la función de IAM roles/logging.viewAccessor en el proyecto.

• Para permitir que un usuario solo lea los registros de una vista de registro específica, tienes dos opciones:

  • Crea una política de IAM para la vista de registro y, luego, agrega una vinculación de IAM a esa política que otorgue a la principal acceso a la vista de registro.

  • Otorga a la principal la función de IAM de roles/logging.viewAccessor en el proyecto que contiene la vista de registro, pero adjunta una condición de IAM para restringir la concesión a la vista de registro específica.

  Para obtener información sobre cómo crear vistas de registro y otorgar acceso, consulta Configura vistas de registro en un bucket de registros.

• Para otorgar a un usuario acceso a campos restringidos de LogEntry, si los hay, en un bucket determinado, otorga la función de Acceso al campo de registros (roles/logging.fieldAccessor). Para obtener más información, consulta Configura el acceso a nivel de campo.

• Para permitir que un usuario escriba registros con la API de Logging, otorga la función de escritor de registros (roles/logging.logWriter). Este rol no otorga permisos de lectura.

• Para permitir que la cuenta de servicio de un receptor enrute los registros a un bucket en un proyecto diferente de Google Cloud, otorga a la cuenta de servicio la función de escritor de buckets de registros (roles/logging.bucketWriter). Si quieres obtener instrucciones para otorgar permisos a una cuenta de servicio, consulta Configura permisos de destino.

Funciones a nivel de proyecto

Precaución: Las siguientes funciones básicas incluyen miles de permisos en todos los servicios de Google Cloud. Usa estas funciones con cuidado o considera usar sus funciones predefinidas correspondientes de Logging.

• Para otorgar acceso de lectura a la mayoría de los servicios de Google Cloud, otorga la función de visualizador (roles/viewer).

  Esta función incluye todos los permisos que otorga la función de visualizador de registros (roles/logging.viewer).

• Para otorgar acceso de editor a la mayoría de los servicios de Google Cloud, otorga la función de editor (roles/editor).

  Esta función incluye todos los permisos que otorga la función de visualizador de registros (roles/logging.viewer), así como los permisos para escribir entradas de registro, borrarlos y crear métricas basadas en registros. Sin embargo, esta función no permite a los usuarios crear receptores, leer registros de auditoría de acceso a los datos que se encuentran en el bucket _Default o leer registros que están en buckets de registros definidos por el usuario.

• Para dar acceso completo a la mayoría de los servicios de Google Cloud, otorga la función de propietario (roles/owner).

Otorgando funciones

Para obtener información sobre cómo otorgar un rol a una principal, consulta Otorga, cambia y revoca el acceso.

Se puede asignar varios roles al mismo usuario. Para obtener una lista de los permisos que contiene una función, consulta la página sobre cómo obtener los metadatos de la función.

Si intentas acceder a un recurso de Google Cloud y no tienes los permisos necesarios, comunícate con la principal que aparece como el Propietario del recurso.

Roles personalizados

A fin de crear una función personalizada con permisos de Logging, haz lo siguiente:

• Para una función que otorgue permisos a la API de Logging, elige los permisos en Permisos de la API y, luego, sigue las instrucciones para crear una función personalizada.

• Si deseas un rol que otorgue permisos para usar el Explorador de registros, elige entre los grupos de permisos en Permisos de la consola y, luego, sigue las instrucciones para crear un rol personalizado.

• Si deseas obtener una función que otorgue permisos para usar gcloud logging, consulta la sección Permisos de la línea de comandos de esta página y, luego, sigue las instrucciones para crear una función personalizada.

Para obtener más información sobre las funciones personalizadas, consulta Comprende las funciones personalizadas de IAM.

Permisos para la consola de Google Cloud

La siguiente tabla muestra una lista de los permisos necesarios para usar el Explorador de registros.

En la tabla, a.b.{x,y} significa a.b.x y a.b.y.

Actividad de Console	Permisos necesarios
Acceso de solo lectura mínimo	logging.logEntries.list logging.logs.list logging.logServiceIndexes.list logging.logServices.list resourcemanager.projects.get
Agregar la capacidad de ver los registros de auditoría de acceso a datos	Agregar logging.privateLogEntries.list
Agregar la habilidad para ver las métricas basadas en registros	Agregar logging.logMetrics.{list, get}
Agregar la habilidad de ver receptores	Agregar logging.sinks.{list, get}
Agregar la habilidad para ver el uso de los registros	Agregar logging.usage.get
Agregar la habilidad de excluir registros	Agregar logging.exclusions.{list, create, get, update, delete}
Agregar la habilidad de usar receptores	Agregar logging.sinks.{list, create, get, update, delete}
Agregar la habilidad de crear métricas basadas en registros	Agregar logging.logMetrics.{list, create, get, update, delete}
Agrega la capacidad de usar consultas guardadas privadas	Agregar logging.queries.{list, create, get, update, delete}
Agrega la habilidad de usar las consultas guardadas compartidas	Agregar logging.queries.{share, getShared, updateShared, deleteShared, listShared}
Agrega la habilidad de usar consultas recientes	Agregar logging.queries.{create, list}

Permisos para la línea de comandos

Los comandos gcloud logging están controlados por los permisos de IAM.

Para usar cualquiera de los comandos de gcloud logging, las principales deben tener el permiso serviceusage.services.use.

Una principal también debe tener la función de IAM que corresponde al recurso del registro y al caso de uso. Para obtener más detalles, consulta los permisos de la interfaz de línea de comandos.

Permisos para conjuntos de datos de BigQuery vinculados

En la siguiente lista, se describen las funciones predefinidas y los permisos correspondientes para administrar tus conjuntos de datos de BigQuery vinculados:

• Las funciones Administrador de Logging (roles/logging.admin) y Escritor de configuración de registros (roles/logging.configWriter) contienen los siguientes permisos:

  • logging.links.list
  • logging.links.create
  • logging.links.get
  • logging.links.delete

• Las funciones Acceso de vínculos de registros (roles/logging.linkViewer), Visor de registros privados (roles/logging.privateLogViewer) y Visor de registros (roles/logging.viewer) contienen los siguientes permisos:

  • logging.links.list
  • logging.links.get

Los roles y permisos enumerados antes solo se aplican a las páginas de observabilidad de Google Cloud, como la página Análisis de registros. Si usas la interfaz de BigQuery para administrar tus conjuntos de datos, es posible que necesites funciones y permisos de BigQuery separados. Consulta Control de acceso con la IAM para BigQuery si quieres obtener más información.

Permisos para guardar consultas

En esta sección, se describen los roles predefinidos y los permisos para guardar, compartir y usar consultas en las páginas Explorador de registros o Análisis de registros. El uso de consultas guardadas privadas que solo tú puedes ver y el uso de consultas guardadas que se comparten con otros miembros del proyecto de Google Cloud requieren permisos diferentes:

• Si deseas obtener los permisos que necesitas para usar las consultas privadas guardadas, pídele a tu administrador que te otorgue el rol de IAM de Visor de registros (roles/logging.viewer) en tu proyecto.

  Este rol predefinido contiene los permisos necesarios para usar las consultas privadas guardadas. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para usar las consultas privadas guardadas:

  • logging.queries.list
  • logging.queries.create
  • logging.queries.get
  • logging.queries.update
  • logging.queries.delete

• Para obtener los permisos que necesitas para crear, actualizar y borrar consultas compartidas, pídele al administrador que te otorgue el rol de IAM de Administrador de Logging (roles/logging.admin) en tu proyecto.

  Este rol predefinido contiene los permisos necesarios para crear, actualizar y borrar consultas compartidas. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para crear, actualizar y borrar consultas compartidas:

  • logging.queries.share
  • logging.queries.updateShared
  • logging.queries.deleteShared

• Para obtener los permisos que necesitas para enumerar y obtener consultas compartidas, pídele a tu administrador que te otorgue el rol de IAM de visualizador de registros (roles/logging.viewer) en tu proyecto.

  Este rol predefinido contiene los permisos necesarios para enumerar y obtener consultas compartidas. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para enumerar y obtener consultas compartidas:

  • logging.queries.listShared
  • logging.queries.getShared

Permisos para enrutar registros

Si quieres obtener información sobre cómo configurar los controles de acceso cuando creas y administras receptores para enrutar registros, consulta Configura permisos de destino.

Ten en cuenta que la administración de los filtros de exclusión está integrada en la configuración de los receptores. Todos los permisos relacionados con la administración de receptores, incluida la configuración de filtros de exclusión, se incluyen en los permisos logging.sinks.*. Cuando crees una función personalizada que incluya permisos para administrar los filtros de exclusión, agrega los permisos logging.sinks.* a la función en lugar de los permisos logging.exclusions.*.

Después de que tus entradas de registro se enruten a un destino admitido, el acceso a las copias de registro se controla en su totalidad con los permisos y las funciones de IAM en los destinos: Cloud Storage, BigQuery o Pub/Sub.

Permisos para métricas basadas en registros

A continuación, se muestra un resumen de las funciones y los permisos comunes que necesita una principal para acceder a las métricas basadas en registros:

• La función Escritor de configuración de registros (roles/logging.configWriter) permite a las principales enumerar, crear, obtener, actualizar y borrar métricas basadas en registros.

• La función Visor de registros (roles/logging.viewer) contiene permisos para ver las métricas existentes. En particular, una principal necesita los permisos logging.logMetrics.get y logging.logMetrics.list para ver las métricas existentes.

• La función Visualizador de Monitoring (roles/monitoring.viewer) contiene los permisos para leer datos de TimeSeries. Específicamente, una principal necesita el permiso monitoring.timeSeries.list para leer datos de series temporales.

• Los roles de administrador de Logging (roles/logging.admin), editor de proyectos (roles/editor) y propietario del proyecto (roles/owner) contienen los permisos para crear métricas basadas en registros. En particular, una principal necesita el permiso logging.logMetrics.create para crear métricas basadas en registros.

Nota: Para proteger los datos de registros privados, como los registros de auditoría de acceso a los datos y los registros de auditoría de la Transparencia de acceso, del acceso no autorizado, asegúrate de que las principales tengan los permisos mínimos que necesitan para realizar su trabajo. Por ejemplo, las principales que tienen el rol Editor del proyecto (roles/editor) pueden crear métricas basadas en registros con etiquetas que pueden extraer información sensible.

Permisos para políticas de alertas basadas en registros

Para crear y administrar políticas de alertas basadas en registros, una principal necesita los siguientes roles y permisos de Logging y Monitoring:

• Si quieres obtener los permisos que necesitas para leer los registros y administrar las reglas de notificación de Logging, pídele a tu administrador que te otorgue el rol de IAM de Administrador de Logging (roles/logging.admin) en tu proyecto.

  Este rol predefinido contiene los permisos necesarios para leer los registros y administrar las reglas de notificación de Logging. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para leer los registros y administrar las reglas de notificación de Logging:

  • logging.queries.listShared
  • logging.queries.getShared

• Si deseas obtener los permisos que necesitas para administrar las políticas de alertas basadas en registros y sus canales de notificaciones, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

  • Editor de políticas de alertas de Monitoring (roles/monitoring.alertPolicyEditor)
  • Editor de canal de notificaciones de Monitoring (roles/monitoring.notificationChannelEditor)

  Estas funciones predefinidas contienen los permisos necesarios para administrar las políticas de alertas basadas en registros y sus canales de notificaciones. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para administrar las políticas de alertas basadas en registros y sus canales de notificaciones:

  • logging.queries.listShared
  • logging.queries.getShared

• Si quieres obtener los permisos que necesitas para crear una política de alertas en Google Cloud CLI, pídele a tu administrador que te otorgue el rol de IAM de Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer) en tu proyecto.

  Este rol predefinido contiene los permisos necesarios para crear una política de alertas en Google Cloud CLI. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

  Permisos necesarios

  Se requieren los siguientes permisos para crear una política de alertas en Google Cloud CLI:

  • logging.queries.listShared
  • logging.queries.getShared

Niveles de acceso de Logging

Los permisos de acceso son el método heredado de especificar permisos para las cuentas de servicio en tus instancias de VM de Compute Engine.

Los siguientes niveles de acceso aplican a la API de Logging:

Nivel de acceso	Permisos otorgados
https://www.googleapis.com/auth/logging.read	roles/logging.viewer
https://www.googleapis.com/auth/logging.write	roles/logging.logWriter
https://www.googleapis.com/auth/logging.admin	Acceso completo a la API de Logging.
https://www.googleapis.com/auth/cloud-platform	Acceso completo a la API de Logging y a otras API habilitadas de Google Cloud.

Si quieres obtener información sobre el uso de este método heredado para establecer los niveles de acceso de tus cuentas de servicio, consulta Permisos de cuenta de servicio.