Contrôle des accès avec IAM

Ce document décrit la façon dont vous utilisez les rôles et autorisations IAM (Identity and Access Management) pour de contrôler l'accès aux données des journaux l'API Logging, l'explorateur de journaux et l'outil Google Cloud CLI.

Présentation

les autorisations IAM Les rôles déterminent votre capacité à accéder aux journaux dans l'API Logging, l'explorateur de journaux et l'outil Google Cloud CLI.

Un rôle est un ensemble d'autorisations. Vous ne pouvez pas accorder directement une autorisation principale. À la place, vous lui accordez un rôle. Lorsque vous accordez un rôle à un compte principal, vous lui accordez toutes les autorisations associées à ce rôle. Vous pouvez attribuer plusieurs rôles au même compte principal.

Pour utiliser Logging dans une ressource Google Cloud telle que un projet, un dossier, un bucket ou une organisation Google Cloud, un compte principal doit disposer un rôle IAM contenant les autorisations appropriées.

Rôles prédéfinis

IAM fournit des rôles prédéfinis pour accorder un accès précis à des ressources Google Cloud spécifiques et empêcher tout accès indésirable à d'autres ressources. Google Cloud crée et gère ces rôles, et met automatiquement à jour leurs autorisations si nécessaire, par exemple lorsque Logging ajoute de nouvelles fonctionnalités.

Le tableau suivant répertorie les rôles prédéfinis pour Logging. Pour pour chaque rôle, le tableau affiche le titre, la description, le contenu les autorisations et le type de ressource de niveau le plus bas auquel les rôles peuvent être accordés. Vous pouvez attribuer les rôles prédéfinis au niveau du projet Google Cloud ou, la plupart des cas, tout type situé plus haut dans le Hiérarchie Google Cloud : Pour restreindre davantage le champ d'application du rôle d'accesseur de vues de journaux au niveau du bucket, utilisez attributs de ressource pour les conditions IAM.

Pour obtenir la liste autorisations individuelles contenues dans un rôle, consultez Obtenir les métadonnées du rôle

Role	Permissions
Logging Admin (roles/logging.admin) Provides all permissions necessary to use all features of Cloud Logging. Lowest-level resources where you can grant this role: Project	logging.buckets.copyLogEntries logging.buckets.create logging.buckets.delete logging.buckets.get logging.buckets.list logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.fields.access logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.* logging.logEntries.create logging.logEntries.download logging.logEntries.list logging.logEntries.route logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logServiceIndexes.list logging.logServices.list logging.logs.* logging.logs.delete logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.privateLogEntries.list logging.queries.* logging.queries.deleteShared logging.queries.getShared logging.queries.listShared logging.queries.share logging.queries.updateShared logging.queries.usePrivate logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.usage.get logging.views.* logging.views.access logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues logging.views.setIamPolicy logging.views.update resourcemanager.projects.get resourcemanager.projects.list
Logs Bucket Writer (roles/logging.bucketWriter) Ability to write logs to a log bucket. Lowest-level resources where you can grant this role: Project	logging.buckets.write
Logs Configuration Writer (roles/logging.configWriter) Provides permissions to read and write the configurations of logs-based metrics and sinks for exporting logs. Lowest-level resources where you can grant this role: Project	logging.buckets.create logging.buckets.delete logging.buckets.get logging.buckets.list logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.update resourcemanager.projects.get resourcemanager.projects.list
Log Field Accessor (roles/logging.fieldAccessor) Ability to read restricted fields in a log bucket. Lowest-level resources where you can grant this role: Project	logging.fields.access
Log Link Accessor (roles/logging.linkViewer) Ability to see links for a bucket.	logging.links.get logging.links.list
Logs Writer (roles/logging.logWriter) Provides the permissions to write log entries. Lowest-level resources where you can grant this role: Project	logging.logEntries.create logging.logEntries.route
Private Logs Viewer (roles/logging.privateLogViewer) Provides permissions of the Logs Viewer role and in addition, provides read-only access to log entries in private logs. Lowest-level resources where you can grant this role: Project	logging.buckets.get logging.buckets.list logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.privateLogEntries.list logging.queries.getShared logging.queries.listShared logging.queries.usePrivate logging.sinks.get logging.sinks.list logging.usage.get logging.views.access logging.views.get logging.views.list resourcemanager.projects.get
Logs View Accessor (roles/logging.viewAccessor) Ability to read logs in a view. Lowest-level resources where you can grant this role: Project	logging.logEntries.download logging.views.access logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues
Logs Viewer (roles/logging.viewer) Provides access to view logs. Lowest-level resources where you can grant this role: Project	logging.buckets.get logging.buckets.list logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.operations.get logging.operations.list logging.queries.getShared logging.queries.listShared logging.queries.usePrivate logging.sinks.get logging.sinks.list logging.usage.get logging.views.get logging.views.list resourcemanager.projects.get

Les sections suivantes fournissent des informations supplémentaires pour vous aider à choisir les rôles qui s'appliquent au niveau différents cas d'utilisation.

Rôles Logging

• Pour permettre à un utilisateur d'effectuer toutes les actions dans Logging, accordez le Administrateur Logging (roles/logging.admin).

• Pour permettre à un utilisateur de créer et de modifier des configurations de journalisation, comme des récepteurs, des buckets, des vues, des liens, des métriques basées sur les journaux ou des exclusions, accordent Rédacteur de configuration des journaux (roles/logging.configWriter).

• Pour permettre à un utilisateur de lire les journaux dans les buckets _Required et _Default, utilisez l'explorateur de journaux, la page "Analyse de journaux", attribuer l'un des rôles suivants:

  • Pour accéder à tous les journaux du bucket _Required et accéder au _Default sur le bucket _Default, accordez le rôle Lecteur de journaux (roles/logging.viewer).
  • Pour accéder à tous les journaux des buckets _Required et _Default, y compris les journaux d'accès aux données, le rôle Lecteur de journaux privés (roles/logging.privateLogViewer).

• Pour permettre à un utilisateur de lire les journaux dans toutes les vues de journaux d'un projet, accordez-lui le rôle IAM roles/logging.viewAccessor sur le projet.

• Pour autoriser un utilisateur à ne lire que les journaux d'une vue spécifique, deux options s'offrent à vous:

  • Créez une stratégie IAM pour la vue de journal, puis ajoutez une de liaison IAM à cette stratégie, qui accorde au compte principal l'accès à la vue de journal.

  • Accorder au compte principal le rôle IAM roles/logging.viewAccessor sur le projet contenant la vue de journal mais associez une condition IAM à limiter l'autorisation à la vue de journal spécifique.

  Pour en savoir plus sur la création de vues de journaux et l'octroi d'accès, consultez la page Configurez des vues de journaux sur un bucket de journaux.

• Pour autoriser un utilisateur à accéder à des champs LogEntry restreints, le cas échéant : dans un bucket donné, accordez Rôle Accesseur de champs de journaux (roles/logging.fieldAccessor). Pour en savoir plus, consultez Configurez l'accès au niveau du champ.

• Pour permettre à un utilisateur d'écrire des journaux à l'aide de l'API Logging, accordez Rédacteur de journaux (roles/logging.logWriter). Ce rôle n'accorde pas de droits de lecture.

• Pour autoriser le compte de service d'un récepteur à acheminer les journaux vers un bucket dans une un autre projet Google Cloud, attribuez-lui le rôle Rédacteur de bucket de journaux (roles/logging.bucketWriter). Pour obtenir des instructions sur l'attribution d'autorisations à un compte de service, consultez Définir les autorisations des destinations

Rôles au niveau du projet

Attention :Les rôles de base suivants incluent des milliers d'autorisations pour tous les services Google Cloud. Utilisez ces rôles avec soin ou envisagez d'utiliser les rôles prédéfinis correspondants de Logging.

• Pour accorder un accès en lecture à la plupart des services Google Cloud, Accordez le rôle Lecteur (roles/viewer).

  Ce rôle inclut toutes les autorisations accordées par le rôle Lecteur de journaux (roles/logging.viewer).

• Pour accorder aux éditeurs l'accès à la plupart des services Google Cloud, accorder le rôle Éditeur (roles/editor).

  Ce rôle inclut toutes les autorisations accordées par le rôle Lecteur de journaux (roles/logging.viewer) et les autorisations permettant de écrire des entrées de journal, supprimer des journaux et créer des métriques basées sur les journaux. Toutefois, ce rôle ne permet pas aux utilisateurs de créer récepteurs, lire les journaux d'audit des accès aux données qui se trouvent dans le bucket _Default, ou lire des journaux dans des buckets de journaux définis par l'utilisateur.

• Pour accorder un accès complet à la plupart des services Google Cloud, attribuez-lui le rôle Propriétaire (roles/owner).

Attribution des rôles…

Pour savoir comment attribuer un rôle à un compte principal, consultez Accorder, modifier et révoquer les accès

Vous pouvez attribuer plusieurs rôles au même utilisateur. Pour obtenir la liste des autorisations contenues dans un rôle, consultez la section Obtenir les métadonnées du rôle.

Si vous essayez d'accéder à une ressource Google Cloud et que vous ne disposez pas les autorisations du rôle Propriétaire, puis contactez le compte principal ressource.

Rôles personnalisés

Pour créer un rôle personnalisé avec des autorisations Logging, procédez comme suit :

• Pour un rôle accordant des autorisations pour l'API Logging, choisissez des autorisations dans la section Autorisations des API, puis suivez les instructions pour créer un rôle personnalisé.

• Pour un rôle accordant des autorisations d'utilisation de l'explorateur de journaux, choisissez parmi les groupes d'autorisations figurant dans la section Autorisations de console, puis suivez les instructions pour créer un rôle personnalisé

• Pour un rôle accordant des autorisations d'utilisation de gcloud logging, consultez la section Autorisations de la ligne de commande sur cette page, puis suivez les instructions pour créer un rôle personnalisé.

Pour plus d'informations sur les rôles personnalisés, voir Comprendre les rôles personnalisés IAM.

Autorisations pour la console Google Cloud

Le tableau suivant répertorie les autorisations nécessaires pour utiliser l'explorateur de journaux.

Dans le tableau, a.b.{x,y} signifie a.b.x et a.b.y.

Activité de la console	Autorisations requises
Accès minimal en lecture seule	logging.logEntries.list logging.logs.list logging.logServiceIndexes.list logging.logServices.list resourcemanager.projects.get
Possibilité d'afficher les journaux d'audit concernant l'accès aux données	Ajouter logging.privateLogEntries.list
Possibilité d'afficher des métriques basées sur les journaux	Ajouter logging.logMetrics.{list, get}
Possibilité d'afficher des récepteurs	Ajouter logging.sinks.{list, get}
Possibilité d'afficher l'utilisation des journaux	Ajouter logging.usage.get
Possibilité d'exclure les journaux	Ajouter logging.exclusions.{list, create, get, update, delete}
Possibilité d'utiliser des récepteurs	Ajouter logging.sinks.{list, create, get, update, delete}
Possibilité de créer des métriques basées sur les journaux	Ajouter logging.logMetrics.{list, create, get, update, delete}
Possibilité d'utiliser des requêtes enregistrées privées	Ajouter logging.queries.{list, create, get, update, delete}
Possibilité d'utiliser des requêtes enregistrées partagées	Ajouter logging.queries.{share, getShared, updateShared, deleteShared, listShared}
Possibilité d'utiliser des requêtes récentes	Ajouter logging.queries.{create, list}

Autorisations pour la ligne de commande

Les commandes gcloud logging sont contrôlées par les autorisations IAM.

Pour utiliser l'une des commandes gcloud logging, les comptes principaux doivent disposer du Autorisation serviceusage.services.use.

Un compte principal doit également disposer du rôle IAM correspondant au la ressource de journal et au cas d'utilisation. Pour en savoir plus, consultez autorisations de l'interface de ligne de commande.

Autorisations pour les ensembles de données BigQuery associés

La liste suivante décrit les rôles prédéfinis et les autorisations correspondantes. pour gérer vos ensembles de données BigQuery associés:

• L'administrateur Logging (roles/logging.admin) et Rédacteur de configuration des journaux (roles/logging.configWriter) contiennent les autorisations suivantes:

  • logging.links.list
  • logging.links.create
  • logging.links.get
  • logging.links.delete

• L'accesseur de liens de journaux (roles/logging.linkViewer), Lecteur des journaux privés (roles/logging.privateLogViewer) et Lecteur de journaux (roles/logging.viewer) contiennent les autorisations suivantes:

  • logging.links.list
  • logging.links.get

Les rôles et autorisations précédemment répertoriés ne s'appliquent qu'aux Pages d'observabilité Google Cloud, telles que la page Analyse de journaux Si vous utilisez l'API BigQuery pour gérer vos ensembles de données, vous aurez peut-être besoin de services les rôles et les autorisations nécessaires. Consultez la page Contrôle des accès avec IAM. pour BigQuery afin d'en savoir plus.

Autorisations d'enregistrement des requêtes

Cette section décrit les rôles prédéfinis et les autorisations enregistrement, partage et utilisation de requêtes dans les pages Explorateur de journaux ou Analyse de journaux. Utilisation des enregistrements privés requêtes que vous seul pouvez voir et à l'aide de requêtes enregistrées partagées avec d'autres membres du projet Google Cloud nécessitent des autorisations différentes:

• Pour obtenir les autorisations nécessaires pour utiliser des requêtes enregistrées privées, demandez à votre administrateur de vous accorder le Lecteur de journaux (roles/logging.viewer) sur votre projet.

  Ce rôle prédéfini contient les autorisations requises pour utiliser des requêtes enregistrées privées. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour utiliser des requêtes enregistrées privées:

  • logging.queries.list
  • logging.queries.create
  • logging.queries.get
  • logging.queries.update
  • logging.queries.delete

• Pour obtenir les autorisations nécessaires pour créer, mettre à jour et supprimer des requêtes partagées, demandez à votre administrateur de vous accorder le Administrateur Logging (roles/logging.admin) sur votre projet.

  Ce rôle prédéfini contient les autorisations requises pour créer, mettre à jour et supprimer des requêtes partagées. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour créer, mettre à jour et supprimer des requêtes partagées:

  • logging.queries.share
  • logging.queries.updateShared
  • logging.queries.deleteShared

• Pour obtenir les autorisations dont vous avez besoin pour lister et obtenir des requêtes partagées, demandez à votre administrateur de vous accorder le Lecteur de journaux (roles/logging.viewer) sur votre projet.

  Ce rôle prédéfini contient les autorisations requises pour répertorier et obtenir les requêtes partagées. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour répertorier et obtenir des requêtes partagées:

  • logging.queries.listShared
  • logging.queries.getShared

Autorisations pour le routage des journaux

Pour en savoir plus sur la configuration des contrôles d'accès lors de la création et de la gestion de récepteurs pour acheminer les journaux, consultez Définir les autorisations des destinations

Notez que la gestion des filtres d'exclusion est intégrée à la configuration des récepteurs. Toutes les autorisations liées à la gestion des récepteurs, y compris la définition de filtres d'exclusion, sont incluses dans les autorisations logging.sinks.*. Lors de la création d'un rôle personnalisé qui inclut des autorisations permettant de gérer les filtres d'exclusion, ajoutez les autorisations logging.sinks.* au rôle plutôt que d'ajouter les autorisations logging.exclusions.*.

Une fois que vos entrées de journal ont été acheminées vers une destination compatible, l'accès aux copies de journaux est contrôlé entièrement par les autorisations et les rôles IAM sur les destinations : Cloud Storage, BigQuery ou Pub/Sub.

Autorisations pour les métriques basées sur les journaux

Voici un récapitulatif des rôles et autorisations dont un compte principal a besoin pour accéder aux métriques basées sur les journaux :

• Rédacteur de configuration des journaux (roles/logging.configWriter) permet aux comptes principaux de répertorier, créer, récupérer mettre à jour et supprimer des métriques basées sur les journaux.

• Le rôle Lecteur de journaux (roles/logging.viewer) contient des autorisations permettant d'afficher les métriques existantes. Plus précisément, un compte principal a besoin des autorisations logging.logMetrics.get et logging.logMetrics.list pour afficher les métriques existantes.

• Le lecteur Monitoring (roles/monitoring.viewer) dispose des autorisations de lecture Données TimeSeries Plus précisément, le compte principal a besoin Autorisation monitoring.timeSeries.list de lire les données des séries temporelles.

• l'administrateur Logging (roles/logging.admin) ; Éditeur de projet (roles/editor) Rôles de propriétaire de projet (roles/owner) qui contiennent les autorisations nécessaires pour créer des métriques basées sur les journaux. Plus précisément, compte principal a besoin de l'autorisation logging.logMetrics.create pour créer basées sur les journaux.

Remarque :Pour sécuriser les données des journaux privés, tels que les journaux d'audit des accès aux données et les journaux d'audit Access Transparency contre les accès non autorisés permettent de s'assurer que les comptes principaux disposant des autorisations minimales dont ils ont besoin pour faire leur travail. Par exemple, comptes principaux disposant de l'éditeur de projet (roles/editor) peut créer des métriques basées sur les journaux avec des étiquettes pouvant extraire des informations sensibles.

Autorisations pour les règles d'alerte basées sur les journaux

Pour créer et gérer des règles d'alerte basées sur les journaux, un compte principal a besoin du les rôles Logging et Monitoring autorisations:

• Pour obtenir les autorisations nécessaires pour lire les journaux et gérer les règles de notification Logging, demandez à votre administrateur de vous accorder le Administrateur Logging (roles/logging.admin) sur votre projet.

  Ce rôle prédéfini contient les autorisations requises pour lire les journaux et gérer les règles de notification Logging. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour lire les journaux et gérer les règles de notification Logging:

  • logging.queries.listShared
  • logging.queries.getShared

• Pour obtenir les autorisations nécessaires pour gérer les règles d'alerte basées sur les journaux et leurs canaux de notification, demandez à votre administrateur de vous accorder le les rôles IAM suivants sur votre projet:

  • Éditeur Monitoring AlertPolicy (roles/monitoring.alertPolicyEditor)
  • Éditeur Monitoring NotificationChannel (roles/monitoring.notificationChannelEditor)

  Ces rôles prédéfinis contiennent les autorisations requises pour gérer les règles d'alerte basées sur les journaux et leurs canaux de notification. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour gérer les règles d'alerte basées sur les journaux et leurs canaux de notification:

  • logging.queries.listShared
  • logging.queries.getShared

• Pour obtenir les autorisations nécessaires pour créer une règle d'alerte dans la Google Cloud CLI, demandez à votre administrateur de vous accorder le rôle IAM Client de Service Usage (roles/serviceusage.serviceUsageConsumer) sur votre projet.

  Ce rôle prédéfini contient les autorisations requises pour créer une règle d'alerte dans la Google Cloud CLI. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

  Autorisations requises

  Les autorisations suivantes sont requises pour créer une règle d'alerte dans la Google Cloud CLI:

  • logging.queries.listShared
  • logging.queries.getShared

Champs d'application de l'accès à Logging

Les niveaux d'accès représentent l'ancienne méthode de spécification des autorisations associées aux comptes de service sur vos instances de VM Compute Engine.

Les champs d'application d'accès suivants s'appliquent à l'API Logging :

Champ d'application d'accès	Autorisations accordées
https://www.googleapis.com/auth/logging.read	roles/logging.viewer
https://www.googleapis.com/auth/logging.write	roles/logging.logWriter
https://www.googleapis.com/auth/logging.admin	Accès complet à l'API Logging.
https://www.googleapis.com/auth/cloud-platform	Accès complet à l'API Logging et à toutes les autres API Google Cloud activées

Pour en savoir plus sur l'utilisation de cette ancienne méthode pour définir les niveaux d'accès de vos comptes de service, consultez la page Autorisations de compte de service.