Questo documento descrive come utilizzi I ruoli e le autorizzazioni di Identity and Access Management (IAM) per controllare l'accesso ai dati dei log API Logging, il parametro Esplora log e Google Cloud CLI.
Panoramica
Autorizzazioni IAM e roles determinano la tua capacità di accedere ai log nell'API Logging, Esplora log e Google Cloud CLI.
Un ruolo è una raccolta di autorizzazioni. Non puoi concedere le autorizzazioni a un'entità directly; concedi loro un ruolo. Quando concedi un ruolo a un'entità, concedi loro tutte le autorizzazioni contenute nel ruolo. Puoi concedere più ruoli alla stessa entità.
Per utilizzare Logging all'interno di una risorsa Google Cloud, ad esempio un progetto, una cartella, un bucket o un'organizzazione Google Cloud, un'entità deve avere ruolo IAM che contiene le autorizzazioni appropriate.
Ruoli predefiniti
IAM fornisce ruoli predefiniti per concedere un accesso granulare specifiche risorse Google Cloud e impedire l'accesso indesiderato Google Cloud. Google Cloud crea e gestisce questi ruoli e aggiorna le proprie autorizzazioni come necessario, ad esempio quando Logging aggiunge nuove funzionalità.
La tabella seguente elenca i ruoli predefiniti per Logging. Per per ogni ruolo, la tabella mostra il titolo, la descrizione, autorizzazioni e il tipo di risorsa di livello più basso in cui è possibile concedere i ruoli. Puoi concedere i ruoli predefiniti a livello di progetto Google Cloud oppure in nella maggior parte dei casi, qualsiasi tipo più alto Gerarchia di Google Cloud. Per limitare l'ambito del ruolo Funzione di accesso visualizzazione log al livello di bucket, utilizza attributi delle risorse per le condizioni IAM.
Per ottenere un elenco di tutte alle singole autorizzazioni contenute in un ruolo, consulta Recupero dei metadati dei ruoli.
Role | Permissions |
---|---|
Logging Admin( Provides all permissions necessary to use all features of Cloud Logging. Lowest-level resources where you can grant this role:
|
|
Logs Bucket Writer( Ability to write logs to a log bucket. Lowest-level resources where you can grant this role:
|
|
Logs Configuration Writer( Provides permissions to read and write the configurations of logs-based metrics and sinks for exporting logs. Lowest-level resources where you can grant this role:
|
|
Log Field Accessor( Ability to read restricted fields in a log bucket. Lowest-level resources where you can grant this role:
|
|
Log Link Accessor( Ability to see links for a bucket. |
|
Logs Writer( Provides the permissions to write log entries. Lowest-level resources where you can grant this role:
|
|
Private Logs Viewer( Provides permissions of the Logs Viewer role and in addition, provides read-only access to log entries in private logs. Lowest-level resources where you can grant this role:
|
|
Logs View Accessor( Ability to read logs in a view. Lowest-level resources where you can grant this role:
|
|
Logs Viewer( Provides access to view logs. Lowest-level resources where you can grant this role:
|
|
Le sezioni seguenti forniscono informazioni aggiuntive per aiutarti a decidere quali ruoli si applicano alle entità e casi d'uso specifici.
Ruoli di logging
Per consentire a un utente di eseguire tutte le azioni in Logging, concedi la classe Ruolo Amministratore Logging (
roles/logging.admin
).Per consentire a un utente di creare e modificare le configurazioni di logging, ad esempio sink, bucket, viste, link, metriche basate su log o esclusioni, concedono Ruolo Writer configurazione log (
roles/logging.configWriter
).Per consentire a un utente di leggere i log nei bucket
_Required
e_Default
, usa Esplora log e la pagina Analisi dei log, assegna uno dei seguenti ruoli:- Per accedere a tutti i log nel bucket
_Required
e per accedere ai_Default
vista sul bucket_Default
, concedi la Ruolo Visualizzatore log (roles/logging.viewer
). - Per accedere a tutti i log nei bucket
_Required
e_Default
, inclusi log di accesso ai dati, concedi il ruolo Visualizzatore log privati (roles/logging.privateLogViewer
).
- Per accedere a tutti i log nel bucket
Per consentire a un utente di leggere i log in tutte le visualizzazioni dei log di un progetto, concedi loro il ruolo IAM di
roles/logging.viewAccessor
nel progetto.Per consentire a un utente di leggere i log solo in una visualizzazione log specifica, hai due opzioni:
Crea un criterio IAM per la visualizzazione del log, quindi aggiungi un Associazione IAM a quel criterio che concede l'entità alla visualizzazione del log.
Concedi all'entità il ruolo IAM
roles/logging.viewAccessor
sul progetto che contiene la visualizzazione del log, ma alleghiamo un Condizione IAM a limita la concessione alla vista log specifica.
Per informazioni sulla creazione delle visualizzazioni dei log e sulla concessione dell'accesso, consulta Configura le visualizzazioni dei log su un bucket di log.
Per concedere a un utente l'accesso ad eventuali campi con restrizioni
LogEntry
: in un determinato bucket, concedi Ruolo Funzione di accesso ai campi (roles/logging.fieldAccessor
) dei log. Per ulteriori informazioni, vedi Configurare l'accesso a livello di campo.Per consentire a un utente di scrivere log utilizzando l'API Logging, concedi con il ruolo Writer log (
roles/logging.logWriter
). Questo ruolo non concede le autorizzazioni di visualizzazione.Per consentire all'account di servizio di una route del sink dei log su un bucket in un in un progetto Google Cloud diverso, concedi all'account di servizio Ruolo Writer bucket di log (
roles/logging.bucketWriter
). Per istruzioni sulla concessione delle autorizzazioni a un account di servizio, consulta Imposta le autorizzazioni della destinazione.
Ruoli a livello di progetto
Per concedere l'accesso in visualizzazione alla maggior parte dei servizi Google Cloud, concedi il ruolo Visualizzatore (
roles/viewer
).Questo ruolo include tutte le autorizzazioni concesse Ruolo Visualizzatore log (
roles/logging.viewer
).Per concedere l'accesso in modifica alla maggior parte dei servizi Google Cloud, concedi il ruolo Editor (
roles/editor
).Questo ruolo include tutte le autorizzazioni concesse il ruolo Visualizzatore log (
roles/logging.viewer
) e le autorizzazioni per scrivere voci di log, eliminare i log e creare metriche basate su log. Tuttavia, questo ruolo non consente agli utenti di creare leggere gli audit log di accesso ai dati che si trovano nel bucket_Default
, o leggere i log contenuti in bucket di log definiti dall'utente.Per concedere l'accesso completo alla maggior parte dei servizi Google Cloud, concedi il ruolo Proprietario (
roles/owner
).
Concessione dei ruoli in corso…
Per scoprire come concedere un ruolo a un'entità, consulta Concessione, modifica e revoca dell'accesso.
Puoi concedere più ruoli allo stesso utente. Per visualizzare un elenco delle autorizzazioni contenuti in un ruolo, consulta Recupero dei metadati dei ruoli.
Se stai tentando di accedere a una risorsa Google Cloud e non disponi degli strumenti autorizzazioni, contatta l'entità indicata come Proprietario per risorsa.
Ruoli personalizzati
Per creare un ruolo personalizzato con autorizzazioni di Logging, procedi nel seguente modo: seguenti:
Per un ruolo che concede le autorizzazioni per l'API Logging, scegli autorizzazioni da Autorizzazioni API, quindi segui le istruzioni per creando un ruolo personalizzato.
Per un ruolo che concede le autorizzazioni per utilizzare Esplora log, scegli tra gruppi di autorizzazioni in Autorizzazioni della console, segui le istruzioni per creando un ruolo personalizzato.
Per un ruolo che concede le autorizzazioni per utilizzare
gcloud logging
, consulta le nella sezione Autorizzazioni dalla riga di comando di questa pagina, quindi segui le istruzioni per creando un ruolo personalizzato.
Per ulteriori informazioni sui ruoli personalizzati, consulta Informazioni sui ruoli IAM personalizzati.
Autorizzazioni per la console Google Cloud
La tabella seguente elenca le autorizzazioni necessarie per utilizzare Esplora log.
Nella tabella, a.b.{x,y}
significa a.b.x
e a.b.y
.
Attività della console | Autorizzazioni obbligatorie |
---|---|
Accesso minimo di sola lettura | logging.logEntries.list logging.logs.list logging.logServiceIndexes.list logging.logServices.list resourcemanager.projects.get |
Aggiunta della possibilità di visualizzare gli audit log di accesso ai dati | Aggiungi logging.privateLogEntries.list |
Aggiungi la possibilità di visualizzare le metriche basate su log | Aggiungi logging.logMetrics. {list , get } |
Aggiungi la possibilità di visualizzare i sink | Aggiungi logging.sinks. {list , get } |
Aggiungi la possibilità di visualizzare l'utilizzo dei log | Aggiungi logging.usage.get |
Aggiunta la possibilità di escludere i log | Aggiungi logging.exclusions. {list , create , get , update , delete } |
Aggiungi la possibilità di utilizzare i sink | Aggiungi logging.sinks.{list , create , get , update , delete } |
Aggiunta della possibilità di creare metriche basate su log | Aggiungi logging.logMetrics. {list , create , get , update , delete } |
Aggiungi la possibilità di utilizzare le query salvate private | Aggiungi logging.queries. {list , create , get , update , delete } |
Aggiunta della possibilità di utilizzare le query salvate condivise | Aggiungi logging.queries. {share , getShared , updateShared , deleteShared , listShared } |
Aggiungi la possibilità di utilizzare le query recenti | Aggiungi logging.queries. {create , list } |
Autorizzazioni per la riga di comando
I comandi gcloud logging
vengono
controllate da autorizzazioni IAM.
Per utilizzare uno dei comandi gcloud logging
, le entità devono avere
Autorizzazione serviceusage.services.use
.
Un'entità deve inoltre avere il ruolo IAM corrispondente alla risorsa del log e al caso d'uso. Per maggiori dettagli, vedi autorizzazioni dell'interfaccia a riga di comando.
Autorizzazioni per i set di dati BigQuery collegati
Nell'elenco che segue vengono descritti i ruoli predefiniti e le autorizzazioni corrispondenti per la gestione dei set di dati BigQuery collegati:
L'amministratore di Logging (
roles/logging.admin
) e Writer configurazione log I ruoli (roles/logging.configWriter
) contengono le seguenti autorizzazioni:logging.links.list
logging.links.create
logging.links.get
logging.links.delete
La funzione di accesso al link di log (
roles/logging.linkViewer
), Visualizzatore log privati (roles/logging.privateLogViewer
) e Visualizzatore log (roles/logging.viewer
) i ruoli contengono le seguenti autorizzazioni:logging.links.list
logging.links.get
I ruoli e le autorizzazioni precedentemente elencati si applicano solo a Pagine sull'osservabilità di Google Cloud, ad esempio la pagina Analisi dei log. Se utilizzi BigQuery per gestire i set di dati, potresti aver bisogno di creare ruoli e autorizzazioni. Consulta Controllo dell'accesso con IAM. per BigQuery.
Autorizzazioni per il salvataggio delle query
Questa sezione descrive i ruoli predefiniti e le autorizzazioni per salvare, condividere e utilizzare le query nelle pagine Esplora log o Analisi dei log. Utilizzo di privato salvato visibili solo a te e che utilizzano query salvate con altri membri del progetto Google Cloud richiedono autorizzazioni diverse:
-
Per ottenere le autorizzazioni necessarie per usare le query salvate private, chiedi all'amministratore di concederti Ruolo IAM Visualizzatore log (
roles/logging.viewer
) nel progetto.Questo ruolo predefinito contiene le autorizzazioni necessarie per usare le query salvate private. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per utilizzare le query salvate private sono necessarie le seguenti autorizzazioni:
-
logging.queries.list
-
logging.queries.create
-
logging.queries.get
-
logging.queries.update
-
logging.queries.delete
-
-
Per ottenere le autorizzazioni necessarie per creare, aggiornare ed eliminare le query condivise, chiedi all'amministratore di concederti Ruolo IAM Amministratore Logging (
roles/logging.admin
) per il progetto.Questo ruolo predefinito contiene le autorizzazioni necessarie per creare, aggiornare ed eliminare le query condivise. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per creare, aggiornare ed eliminare le query condivise, sono necessarie le seguenti autorizzazioni:
-
logging.queries.share
-
logging.queries.updateShared
-
logging.queries.deleteShared
-
-
Per ottenere le autorizzazioni necessarie per elencare e ottenere le query condivise, chiedi all'amministratore di concederti Ruolo IAM Visualizzatore log (
roles/logging.viewer
) nel progetto.Questo ruolo predefinito contiene delle autorizzazioni necessarie per elencare e ottenere query condivise. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per elencare e ricevere query condivise, sono necessarie le seguenti autorizzazioni:
-
logging.queries.listShared
-
logging.queries.getShared
-
Autorizzazioni per i log di routing
Per informazioni sull'impostazione dei controlli dell'accesso durante la creazione e la gestione dei sink eseguire il routing dei log, Imposta le autorizzazioni della destinazione.
Tieni presente che la gestione dei filtri di esclusione è integrata con la configurazione dei sink. Tutti
Le autorizzazioni relative alla gestione dei sink, inclusa l'impostazione dei filtri di esclusione, sono
incluso nelle autorizzazioni logging.sinks.*
. Quando crei un ruolo personalizzato
include le autorizzazioni per gestire i filtri di esclusione, aggiungi logging.sinks.*
autorizzazioni al ruolo anziché aggiungere l'elemento logging.exclusions.*
autorizzazioni aggiuntive.
Una volta che le voci di log sono state indirizzate a una destinazione supportata, l'accesso a le copie dei log sono controllate interamente dalle autorizzazioni IAM e ruoli nelle destinazioni: Cloud Storage, BigQuery in Pub/Sub.
Autorizzazioni per le metriche basate su log
Di seguito è riportato un riepilogo dei ruoli e delle autorizzazioni comuni deve accedere alle metriche basate su log:
Writer configurazione log Il ruolo (
roles/logging.configWriter
) consente alle entità di elencare, creare, recuperare aggiornare ed eliminare le metriche basate su log.Ruolo Visualizzatore log (
roles/logging.viewer
) contiene le autorizzazioni per visualizzare le metriche esistenti. In particolare, un'entità richiede le autorizzazionilogging.logMetrics.get
elogging.logMetrics.list
per visualizzare le metriche esistenti.Il visualizzatore di Monitoring Il ruolo (
roles/monitoring.viewer
) contiene le autorizzazioni di lettura Dati di TimeSeries. Nello specifico, un'entità ha bisogno Autorizzazionemonitoring.timeSeries.list
per leggere i dati delle serie temporali.L'amministratore di Logging (
roles/logging.admin
), Editor di progetto (roles/editor
) e Ruoli di proprietario del progetto (roles/owner
) contengono le autorizzazioni per creare metriche basate su log. In particolare, un L'entità richiede l'autorizzazionelogging.logMetrics.create
per creare basate su log.
Autorizzazioni per i criteri di avviso basati su log
Per creare e gestire i criteri di avviso basati su log, un'entità ha bisogno dei ruoli di Logging e Monitoring, autorizzazioni:
-
Per ottenere le autorizzazioni necessarie per leggere i log e gestire le regole di notifica di Logging, chiedi all'amministratore di concederti Ruolo IAM Amministratore Logging (
roles/logging.admin
) per il progetto.Questo ruolo predefinito contiene le autorizzazioni necessarie per leggere i log e gestire le regole di notifica di Logging. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per leggere i log e gestire le regole di notifica di Logging sono necessarie le seguenti autorizzazioni:
-
logging.queries.listShared
-
logging.queries.getShared
-
-
Per ottenere le autorizzazioni necessarie per gestire i criteri di avviso basati su log e i relativi canali di notifica, chiedi all'amministratore di concederti i seguenti ruoli IAM sul tuo progetto:
-
Editor AlertPolicy Monitoring (
roles/monitoring.alertPolicyEditor
) -
Editor NotificationChannel di Monitoring (
roles/monitoring.notificationChannelEditor
)
Questi ruoli predefiniti le autorizzazioni necessarie per gestire i criteri di avviso basati su log e i relativi canali di notifica. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per gestire i criteri di avviso basati su log e i relativi canali di notifica, sono necessarie le seguenti autorizzazioni:
-
logging.queries.listShared
-
logging.queries.getShared
-
Editor AlertPolicy Monitoring (
-
Per ottenere le autorizzazioni necessarie per creare un criterio di avviso in Google Cloud CLI, chiedi all'amministratore di concederti Ruolo IAM Service Usage Consumer (
roles/serviceusage.serviceUsageConsumer
) nel progetto.Questo ruolo predefinito contiene le autorizzazioni necessarie per creare un criterio di avviso in Google Cloud CLI. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per creare un criterio di avviso in Google Cloud CLI sono necessarie le autorizzazioni seguenti:
-
logging.queries.listShared
-
logging.queries.getShared
-
Ambiti di accesso al logging
Gli ambiti di accesso sono il metodo legacy per specificare le autorizzazioni per gli account di servizio di istanze VM di Compute Engine.
I seguenti ambiti di accesso si applicano all'API Logging:
Ambito dell'accesso | Autorizzazioni concesse |
---|---|
https://www.googleapis.com/auth/logging.read | roles/logging.viewer |
https://www.googleapis.com/auth/logging.write | roles/logging.logWriter |
https://www.googleapis.com/auth/logging.admin | Accesso completo all'API Logging. |
https://www.googleapis.com/auth/cloud-platform | Accesso completo all'API Logging e a tutte le altre API Google Cloud abilitate. |
Per informazioni sull'utilizzo di questo metodo legacy per impostare gli account di servizio livelli di accesso, consulta Autorizzazioni dell'account di servizio.