En este documento, se describe cómo usar roles y permisos de Identity and Access Management (IAM) para para controlar el acceso a los datos de registro la API de Logging, el el Explorador de registros Google Cloud CLI.
Descripción general
Los permisos de IAM y Los roles determinan tu capacidad para acceder a los registros en la API de Logging, en la Explorador de registros Google Cloud CLI.
Un rol es un conjunto de permisos. No puedes otorgar permisos principales directamente. En su lugar, les otorgas una función. Cuando otorgas un rol a una principal, le otorgas todos los permisos que contiene ese rol. Puedes otorgar varios roles en la misma principal.
Para usar Logging dentro de un recurso de Google Cloud, como un proyecto, una carpeta, un bucket o una organización de Google Cloud, una principal debe tener un de IAM que contiene los permisos adecuados.
Funciones predefinidas
IAM proporciona roles predefinidos para otorgar acceso detallado a a recursos específicos de Google Cloud y evitar el acceso no deseado a otros de Google Cloud. Google Cloud crea y mantiene estos roles, y actualiza sus permisos según sea necesario, como cuando Logging agrega nuevas funciones.
En la siguiente tabla, se enumeran las funciones predefinidas de Logging. Para de cada rol, la tabla muestra el título del rol, la descripción permisos y el tipo de recurso de nivel más bajo en el que se pueden otorgar los roles. Puedes otorgar los roles predefinidos a nivel de proyecto de Google Cloud o, en la mayoría de los casos, cualquier tipo de Jerarquía de Google Cloud. Para limitar el rol de Acceso a vistas de registros con mayor precisión a nivel de bucket, usa atributos de recursos para las condiciones de IAM.
Para obtener una lista de todas los permisos individuales contenidos en un rol, consulta Obtén los metadatos de la función.
Role | Permissions |
---|---|
Logging Admin( Provides all permissions necessary to use all features of Cloud Logging. Lowest-level resources where you can grant this role:
|
|
Logs Bucket Writer( Ability to write logs to a log bucket. Lowest-level resources where you can grant this role:
|
|
Logs Configuration Writer( Provides permissions to read and write the configurations of logs-based metrics and sinks for exporting logs. Lowest-level resources where you can grant this role:
|
|
Log Field Accessor( Ability to read restricted fields in a log bucket. Lowest-level resources where you can grant this role:
|
|
Log Link Accessor( Ability to see links for a bucket. |
|
Logs Writer( Provides the permissions to write log entries. Lowest-level resources where you can grant this role:
|
|
Private Logs Viewer( Provides permissions of the Logs Viewer role and in addition, provides read-only access to log entries in private logs. Lowest-level resources where you can grant this role:
|
|
Logs View Accessor( Ability to read logs in a view. Lowest-level resources where you can grant this role:
|
|
Logs Viewer( Provides access to view logs. Lowest-level resources where you can grant this role:
|
|
En las siguientes secciones, se brinda información adicional para ayudarte a decidir qué roles se aplican a las cuentas de los casos de uso.
Funciones de Logging
Para permitir que un usuario realice todas las acciones en Logging, otorga el permiso Administrador de Logging (
roles/logging.admin
).Para permitir que un usuario cree y modifique configuraciones de registro, como receptores, buckets, vistas, vínculos, métricas basadas en registros o exclusiones, conceden al Rol de escritor de configuración de registros (
roles/logging.configWriter
).Para permitir que un usuario lea registros en los buckets de
_Required
y_Default
, haz lo siguiente: usar el Explorador de registros y la página Análisis de registros, otorgar uno de los siguientes roles:- Para acceder a todos los registros del bucket
_Required
y a las_Default
en el bucket_Default
, otorga la Visualizador de registros (roles/logging.viewer
). - Para acceder a todos los registros en los buckets de
_Required
y_Default
, haz lo siguiente: incluidos los registros de acceso a los datos, otorgar el rol de visualizador de registros privados (roles/logging.privateLogViewer
).
- Para acceder a todos los registros del bucket
Para permitir que un usuario lea registros en todas las vistas de registro de un proyecto, otórgale la función de IAM de
roles/logging.viewAccessor
en el proyecto.Para permitir que un usuario solo lea los registros de una vista de registro específica, tienes dos opciones:
Crea una política de IAM para la vista de registro y, luego, agrega una IAM vinculada a esa política que otorga a la principal acceso a la vista de registro.
Otorga a la principal el rol de IAM de
roles/logging.viewAccessor
en el proyecto que contiene la vista de registro. pero adjuntar un Condición de IAM a restringir el otorgamiento a una vista de registro específica.
Para obtener información sobre cómo crear vistas de registro y otorgar acceso, consulta Configura vistas de registro en un bucket de registros.
Para otorgar a un usuario acceso a campos restringidos de
LogEntry
, si los hay, haz lo siguiente: en un bucket determinado, otorga el Acceso al campo de registro de acceso (roles/logging.fieldAccessor
). Para obtener más información, consulta Configura el acceso a nivel de campo.Para permitir que un usuario escriba registros con la API de Logging, otorga el rol de escritor de registros (
roles/logging.logWriter
). Este rol no otorga permisos de lectura.Para permitir que la cuenta de servicio de un receptor enrute los registros a un bucket en un otro proyecto de Google Cloud, otórgale a la cuenta de servicio Rol de escritor de buckets de registros (
roles/logging.bucketWriter
). Si quieres obtener instrucciones para otorgar permisos a una cuenta de servicio, consulta Configura permisos de destino.
Funciones a nivel de proyecto
Para otorgar acceso de lectura a la mayoría de los servicios de Google Cloud, otorgas el rol de visualizador (
roles/viewer
).Este rol incluye todos los permisos otorgados por el Visualizador de registros (
roles/logging.viewer
).Para otorgar acceso de editor a la mayoría de los servicios de Google Cloud, otorgas el rol de Editor (
roles/editor
).Este rol incluye todos los permisos otorgados por el de Visualizador de registros (
roles/logging.viewer
) y los permisos para escribir entradas de registro, borrar registros y crear métricas basadas en registros. Sin embargo, este rol no les permite a los usuarios crear leer registros de auditoría de acceso a los datos que se encuentran en el bucket_Default
o leer registros que están en buckets de registros definidos por el usuario.Para dar acceso completo a la mayoría de los servicios de Google Cloud, otorgas el rol de propietario (
roles/owner
).
Otorgando funciones
Para obtener información sobre cómo otorgar un rol a una principal, consulta Cómo otorgar, cambiar y revocar el acceso a los recursos
Se puede asignar varios roles al mismo usuario. Para obtener una lista de los permisos que contiene una función, consulta la página sobre cómo obtener los metadatos de la función.
Si intentas acceder a un recurso de Google Cloud y no tienes los recursos permisos, comunícate con la principal que aparece como Propietario de la recurso.
Funciones personalizadas
A fin de crear una función personalizada con permisos de Logging, haz lo siguiente:
Para un rol que otorgue permisos a la API de Logging, elige permisos de los permisos de la API y, luego, sigue instrucciones para crear un rol personalizado.
Para un rol que otorgue permisos para usar el Explorador de registros, elige grupos de permisos en Permisos de la consola y, luego, sigue las instrucciones para crear un rol personalizado.
Si quieres un rol que otorgue permisos para usar
gcloud logging
, consulta el Permisos de la línea de comandos de esta página y, luego, sigue las instrucciones para crear un rol personalizado
Para obtener más información sobre las funciones personalizadas, consulta Comprende las funciones personalizadas de IAM.
Permisos para la consola de Google Cloud
La siguiente tabla muestra una lista de los permisos necesarios para usar el Explorador de registros.
En la tabla, a.b.{x,y}
significa a.b.x
y a.b.y
.
Actividad de Console | Permisos necesarios |
---|---|
Acceso de solo lectura mínimo | logging.logEntries.list logging.logs.list logging.logServiceIndexes.list logging.logServices.list resourcemanager.projects.get |
Agregar la capacidad de ver los registros de auditoría de acceso a datos | Agregar logging.privateLogEntries.list |
Agregar la habilidad para ver las métricas basadas en registros | Agregar logging.logMetrics. {list , get } |
Agregar la habilidad de ver receptores | Agregar logging.sinks. {list , get } |
Agregar la habilidad para ver el uso de los registros | Agregar logging.usage.get |
Agregar la habilidad de excluir registros | Agregar logging.exclusions. {list , create , get , update , delete } |
Agregar la habilidad de usar receptores | Agregar logging.sinks.{list , create , get , update , delete } |
Agregar la habilidad de crear métricas basadas en registros | Agregar logging.logMetrics. {list , create , get , update , delete } |
Agrega la capacidad de usar consultas guardadas privadas | Agregar logging.queries. {list , create , get , update , delete } |
Agrega la habilidad de usar las consultas guardadas compartidas | Agregar logging.queries. {share , getShared , updateShared , deleteShared , listShared } |
Agrega la habilidad de usar consultas recientes | Agregar logging.queries. {create , list } |
Permisos para la línea de comandos
Los comandos gcloud logging
se
y se controlan mediante permisos de IAM.
Para usar cualquiera de los comandos de gcloud logging
, las principales deben tener lo siguiente:
serviceusage.services.use
.
Una principal también debe tener el rol de IAM que corresponde al recurso de registro y al caso de uso. Para obtener más información, consulta permisos de la interfaz de línea de comandos.
Permisos para conjuntos de datos de BigQuery vinculados
En la siguiente lista, se describen los roles predefinidos y los permisos correspondientes para administrar tus conjuntos de datos vinculados de BigQuery:
El Administrador de Logging (
roles/logging.admin
) y Escritor de configuración de registros (roles/logging.configWriter
) los roles contienen los siguientes permisos:logging.links.list
logging.links.create
logging.links.get
logging.links.delete
El acceso de vinculación de registros (
roles/logging.linkViewer
), Visor de registros privados (roles/logging.privateLogViewer
) Visor de registros (roles/logging.viewer
) los roles contienen los siguientes permisos:logging.links.list
logging.links.get
Los roles y permisos enumerados anteriormente solo se aplican a Páginas de Google Cloud Observability, como la página Análisis de registros. Si usas BigQuery para administrar tus conjuntos de datos, es posible que necesites BigQuery roles y permisos. Consulta Control de acceso con la IAM. para BigQuery para obtener más información.
Permisos para guardar consultas
En esta sección, se describen los roles predefinidos y los permisos para guardar, compartir y usar consultas en las páginas Explorador de registros o Análisis de registros. Usando configuración privada guardada búsquedas que solo tú puedes ver, así como consultas guardadas que se comparten con otros miembros del proyecto de Google Cloud requieren permisos diferentes:
-
A fin de obtener los permisos que necesitas para usar las consultas privadas guardadas, solicita a tu administrador que te otorgue el Rol de IAM de Visor de registros (
roles/logging.viewer
) en tu proyecto.Este rol predefinido contiene los permisos necesarios para usar las consultas privadas guardadas Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para usar las consultas privadas guardadas:
-
logging.queries.list
-
logging.queries.create
-
logging.queries.get
-
logging.queries.update
-
logging.queries.delete
-
-
Si deseas obtener los permisos que necesitas para crear, actualizar y borrar consultas compartidas, sigue estos pasos: solicita a tu administrador que te otorgue el Rol de IAM Administrador de Logging (
roles/logging.admin
) en tu proyecto.Este rol predefinido contiene los permisos necesarios para crear, actualizar y borrar consultas compartidas Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para crear, actualizar y borrar consultas compartidas:
-
logging.queries.share
-
logging.queries.updateShared
-
logging.queries.deleteShared
-
-
Para obtener los permisos que necesitas para enumerar y obtener consultas compartidas, solicita a tu administrador que te otorgue el Rol de IAM de Visor de registros (
roles/logging.viewer
) en tu proyecto.Este rol predefinido contiene los permisos necesarios para enumerar y obtener consultas compartidas. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para enumerar y obtener consultas compartidas:
-
logging.queries.listShared
-
logging.queries.getShared
-
Permisos para enrutar registros
Si deseas obtener información para configurar los controles de acceso cuando creas y administras receptores para enrutar registros, consulta Configura permisos de destino.
Ten en cuenta que la administración de los filtros de exclusión está integrada en la configuración de los receptores. Todas
los permisos relacionados con la administración de receptores, incluida la configuración de filtros de exclusión,
incluido en los permisos logging.sinks.*
. Cuando crees un rol personalizado
incluye permisos para administrar filtros de exclusión, agrega logging.sinks.*
permisos al rol en lugar de agregar logging.exclusions.*
permisos.
Después de que tus entradas de registro se enrutan a un destino admitido, el acceso a las copias de los registros se controlan en su totalidad por los permisos de IAM y roles en los destinos: Cloud Storage, BigQuery o Pub/Sub
Permisos para métricas basadas en registros
A continuación, se muestra un resumen de los roles y permisos comunes que una principal necesita acceder a las métricas basadas en registros:
El Escritor de configuración de registros (
roles/logging.configWriter
) permite que las principales enumeren, creen, obtengan actualizar y borrar métricas basadas en registros.La función Visor de registros (
roles/logging.viewer
) contiene permisos para ver las métricas existentes. Específicamente, una principal necesita los permisoslogging.logMetrics.get
ylogging.logMetrics.list
para ver las métricas existentes.El Visualizador de Monitoring (
roles/monitoring.viewer
) contiene los permisos para leer datos de TimeSeries. Específicamente, un principal necesita El permisomonitoring.timeSeries.list
para leer datos de series temporalesEl Administrador de Logging (
roles/logging.admin
) Editor del proyecto (roles/editor
) y Roles de Propietario del proyecto (roles/owner
) contienen los permisos para crear métricas basadas en registros. En concreto, un principal necesita el permisologging.logMetrics.create
para crear basadas en registros.
Permisos para políticas de alertas basadas en registros
Para crear y administrar políticas de alertas basadas en registros, una principal necesita la los roles de Logging y Monitoring permisos:
-
A fin de obtener los permisos que necesitas para leer los registros y administrar las reglas de notificación de Logging, solicita a tu administrador que te otorgue el Rol de IAM Administrador de Logging (
roles/logging.admin
) en tu proyecto.Este rol predefinido contiene los permisos necesarios para leer los registros y administrar las reglas de notificación de Logging. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para leer los registros y administrar las reglas de notificación de Logging:
-
logging.queries.listShared
-
logging.queries.getShared
-
-
A fin de obtener los permisos que necesitas para administrar las políticas de alertas basadas en registros y sus canales de notificaciones, solicita a tu administrador que te otorgue el los siguientes roles de IAM en tu proyecto:
-
Editor de políticas de alertas de Monitoring (
roles/monitoring.alertPolicyEditor
) -
Editor de canal de notificaciones de Monitoring (
roles/monitoring.notificationChannelEditor
)
Estos roles predefinidos contienen los permisos necesarios para administrar políticas de alertas basadas en registros y sus canales de notificaciones. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para administrar las políticas de alertas basadas en registros y sus canales de notificaciones:
-
logging.queries.listShared
-
logging.queries.getShared
-
Editor de políticas de alertas de Monitoring (
-
Para obtener los permisos que necesitas para crear una política de alertas en Google Cloud CLI, solicita a tu administrador que te otorgue el Rol de IAM Consumidor de Service Usage (
roles/serviceusage.serviceUsageConsumer
) en tu proyecto.Este rol predefinido contiene los permisos necesarios para crear una política de alertas en Google Cloud CLI. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para crear una política de alertas en Google Cloud CLI:
-
logging.queries.listShared
-
logging.queries.getShared
-
Niveles de acceso de Logging
Los permisos de acceso son método heredado de especificar permisos para las cuentas de servicio en tu Instancias de VM de Compute Engine.
Los siguientes niveles de acceso aplican a la API de Logging:
Nivel de acceso | Permisos otorgados |
---|---|
https://www.googleapis.com/auth/logging.read | roles/logging.viewer |
https://www.googleapis.com/auth/logging.write | roles/logging.logWriter |
https://www.googleapis.com/auth/logging.admin | Acceso completo a la API de Logging. |
https://www.googleapis.com/auth/cloud-platform | Acceso completo a la API de Logging y a otras API habilitadas de Google Cloud. |
Si deseas obtener información sobre el uso de este método heredado para configurar las contraseñas niveles de acceso, consulta Permisos de la cuenta de servicio.