Controlla l'accesso con IAM

Per utilizzare il monitoraggio, devi disporre delle autorizzazioni Identity and Access Management (IAM) appropriate. In generale, a ogni metodo REST in un'API è associata un'autorizzazione. Per utilizzare il metodo o una funzionalità della console che si basa sul metodo, devi disporre dell'autorizzazione per utilizzare il metodo corrispondente. Le autorizzazioni non vengono concesse direttamente agli utenti. vengono concesse le autorizzazioni indirettamente tramite i ruoli, che raggruppano più autorizzazioni per semplificarne la gestione più facile:

• Per informazioni sul controllo dell'accesso, vedi Concetti relativi alla gestione degli accessi.

• Per informazioni su come concedere ruoli alle entità, vedi Concedere l'accesso a Cloud Monitoring.

I ruoli per combinazioni comuni di autorizzazioni sono predefiniti. Tuttavia, puoi anche creare le tue combinazioni di autorizzazioni creando ruoli IAM personalizzati.

Best practice

Ti consigliamo di creare gruppi Google per gestire l'accesso a Progetti Google Cloud:

• Per saperne di più, consulta Gestire i gruppi nella console Google Cloud.
• Per informazioni su come impostare limiti per i ruoli, consulta Impostare limiti per la concessione dei ruoli.
• Per un elenco completo dei ruoli e delle autorizzazioni IAM, consulta Riferimento ai ruoli di base e predefiniti IAM.

Controlli di servizio VPC

Per un ulteriore controllo dell'accesso ai dati di monitoraggio, utilizza Controlli di servizio VPC oltre a IAM.

I Controlli di servizio VPC offrono una maggiore sicurezza per Cloud Monitoring per contribuire a mitigare il rischio di esfiltrazione di dati. Con i Controlli di servizio VPC, puoi aggiungere un ambito delle metriche a un perimetro di servizio che protegge di risorse e servizi Cloud Monitoring dalle richieste provenienti dall'esterno lungo il perimetro.

Per saperne di più sui perimetri di servizio, consulta Documentazione per la configurazione del perimetro di servizio dei Controlli di servizio VPC.

Per informazioni sull'assistenza di Monitoring per i Controlli di servizio VPC, incluse le limitazioni note, consulta Monitoraggio della documentazione sui Controlli di servizio VPC.

Concedi l'accesso a Cloud Monitoring

Per gestire i ruoli IAM per le entità, puoi utilizzare la pagina Identity and Access Management nella console Google Cloud o l'interfaccia a riga di comando Google Cloud. Tuttavia, Cloud Monitoring fornisce un'interfaccia semplificata che ti consente di gestire i ruoli specifici di monitoraggio, i ruoli a livello di progetto e i ruoli comuni per Cloud Logging e Cloud Trace.

Nota: per concedere a un'entità un ruolo IAM, devi disporre del ruolo IAM Proprietario.

Per concedere alle entità l'accesso a Monitoring, Cloud Logging, o Cloud Trace oppure per concedere un ruolo a livello di progetto, segui questi passaggi:

Console

1. Nella console Google Cloud, vai alla pagina  Autorizzazioni:

   Vai ad Autorizzazioni.

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

   La pagina Autorizzazioni non mostra tutti i principali. Elenca solo alle entità con un ruolo a livello di progetto o un ruolo specifici di Monitoring, Logging Trace.

   Le opzioni in questa pagina ti consentono di visualizzare tutte le entità i cui ruoli includono qualsiasi autorizzazione di monitoraggio.

2. Fai clic su Concedi accesso.

3. Fai clic su Nuove entità e inserisci il nome utente dell'entità. Puoi aggiungere più entità principali.

4. Espandi Seleziona un ruolo, seleziona un valore dal menu Per prodotto o servizio e poi un ruolo dal menu Ruoli:

   Seleziona Per prodotto o servizio	Selezione dei ruoli	Descrizione
   Monitoraggio	Visualizzatore monitoraggio	Visualizzare i dati e le informazioni di configurazione di Monitoring. Ad esempio, le entità con questo ruolo possono visualizzare dashboard personalizzate e criteri di avviso.
   Monitoraggio	Editor di monitoraggio	Visualizzare i dati di Monitoring e per creare e modificare le configurazioni. Ad esempio, entità con questo ruolo possono creare dashboard personalizzate e criteri di avviso.
   Monitoraggio	Amministratore Monitoring	Visualizza i dati di monitoraggio, crea e modifica le configurazioni e modifica l'ambito delle metriche.
   Cloud Trace	Utente Cloud Trace	Accesso completo alla console Trace, accesso in lettura alle tracce e accesso in lettura e scrittura ai sink. Per ulteriori informazioni, consulta Ruoli di traccia.
   Cloud Trace	Amministratore Cloud Trace	Accesso completo alla console di Trace, accesso in lettura/scrittura alle tracce e accesso in lettura/scrittura ai sink. Per ulteriori informazioni, vedi Ruoli di traccia.
   Logging	Visualizzatore log	Visualizza l'accesso ai log. Per ulteriori informazioni, consulta Ruoli di registrazione.
   Logging	Amministratore Logging	Accesso completo a tutte le funzionalità di Cloud Logging. Per maggiori informazioni, consulta la sezione Ruoli di registrazione.
   Progetto	Visualizzatore	Visualizza l'accesso alla maggior parte delle risorse Google Cloud.
   Progetto	Editor	Visualizza, crea, aggiorna ed elimina la maggior parte delle risorse Google Cloud.
   Progetto	Proprietario	Accesso completo alla maggior parte delle risorse di Google Cloud.

5. (Facoltativo) Per concedere agli stessi entità un altro ruolo, fai clic su Aggiungi un altro ruolo e ripeti il passaggio precedente.

6. Fai clic su Salva.

I passaggi precedenti descrivono come concedere a un principale determinati ruoli utilizzando le pagine di monitoraggio nella console Google Cloud. Per questi ruoli, questa pagina supporta anche le opzioni di modifica ed eliminazione:

• Per rimuovere i ruoli per un'entità, seleziona la casella accanto all'entità e poi fai clic su Rimuovi accesso.

• Per modificare i ruoli di un'entità, fai clic su Modifica. Dopo aver aggiornato le impostazioni, fai clic su Salva.

gcloud

Utilizza la gcloud projects add-iam-policy-binding per concedere l'autorizzazione monitoring.viewer o Ruolo monitoring.editor.

Ad esempio:

export PROJECT_ID="my-test-project"
export EMAIL_ADDRESS="[e-mail]"
gcloud projects add-iam-policy-binding \
      $PROJECT_ID \
      --member="user:$EMAIL_ADDRESS" \
      --role="roles/monitoring.editor"

Puoi confermare i ruoli concessi utilizzando il comando gcloud projects get-iam-policy:

export PROJECT_ID="my-test-project"
gcloud projects get-iam-policy $PROJECT_ID

Ruoli predefiniti

Questa sezione elenca un sottoinsieme di ruoli IAM predefiniti e configurazione in Cloud Monitoring.

Ruoli di monitoraggio

I ruoli seguenti concedono autorizzazioni generali per Monitoring:

Nome Titolo	Include le autorizzazioni
roles/monitoring.viewer Visualizzatore Monitoring	Concede l'accesso in sola lettura a Monitoring nella console Google Cloud e all'API Cloud Monitoring.
roles/monitoring.editor Monitoring Editor	Concede l'accesso in lettura/scrittura a Monitoring nella console Google Cloud e all'API Cloud Monitoring.
roles/monitoring.admin Amministratore Monitoring	Concede l'accesso completo a Monitoring nella console Google Cloud e l'API Cloud Monitoring.

Il seguente ruolo viene utilizzato dagli account di servizio per l'accesso in sola scrittura:

Nome Titolo	Descrizione
roles/monitoring.metricWriter Monitoring Metric Writer	Questo ruolo riguarda gli account di servizio e gli agenti. Non consente l'accesso al monitoraggio nella console Google Cloud. Consente la scrittura dei dati di monitoraggio in un ambito delle metriche.

Ruoli dei criteri di avviso

I ruoli seguenti concedono le autorizzazioni per i criteri di avviso:

Nome Titolo	Descrizione
roles/monitoring.alertPolicyViewer Monitoring AlertPolicy Viewer	Concede l'accesso di sola lettura ai criteri di avviso.
roles/monitoring.alertPolicyEditor Editor AlertPolicy Monitoring	Concede l'accesso in lettura e scrittura ai criteri di avviso.

Ruoli della dashboard

I seguenti ruoli concedono le autorizzazioni solo per le dashboard:

Nome Titolo	Descrizione
roles/monitoring.dashboardViewer Visualizzatore configurazione dashboard di monitoraggio	Concede l'accesso di sola lettura alle configurazioni della dashboard.
roles/monitoring.dashboardEditor Editor configurazione dashboard Monitoring	Concede l'accesso in lettura/scrittura alle configurazioni della dashboard.

Ruoli degli incidenti

I seguenti ruoli concedono le autorizzazioni solo per gli incidenti:

Nome Titolo	Descrizione
roles/monitoring.cloudConsoleIncidentViewer Visualizzatore incidenti console Cloud Monitoring	Concedi l'accesso per visualizzare gli incidenti utilizzando la console Google Cloud.
roles/monitoring.cloudConsoleIncidentEditor Editor incidenti console Cloud Monitoring	Concede l'accesso per visualizzare, confermare e chiudere gli incidenti utilizzando la console Google Cloud.

Nota: non puoi concedere le singole autorizzazioni associate a questi ruoli.

Per informazioni su come risolvere gli errori di autorizzazione IAM quando la visualizzazione degli incidenti, Impossibile visualizzare i dettagli dell'incidente a causa di un errore di autorizzazione.

Ruoli del canale di notifica

I seguenti ruoli concedono le autorizzazioni solo per i canali di notifica:

Nome Titolo	Descrizione
roles/monitoring.notificationChannelViewer Visualizzatore NotificationChannel Monitoring	Concede l'accesso di sola lettura ai canali di notifica.
roles/monitoring.notificationChannelEditor Editor NotificationChannel Monitoring	Concede l'accesso in lettura e scrittura ai canali di notifica.

Posticipare i ruoli delle notifiche

I seguenti ruoli concedono le autorizzazioni per posticipare le notifiche:

Nome Titolo	Descrizione
roles/monitoring.snoozeViewer Visualizzatore posticipazione monitoraggio	Concede l'accesso di sola lettura alle spostamenti.
roles/monitoring.snoozeEditor Monitoraggio dell'editor Posticipa	Concede l'accesso in lettura/scrittura alle posticipazioni.

Ruoli di monitoraggio dei servizi

I seguenti ruoli concedono le autorizzazioni per la gestione dei servizi:

Nome Titolo	Descrizione
roles/monitoring.servicesViewer Monitoring Services Viewer	Concede l'accesso di sola lettura ai servizi.
roles/monitoring.servicesEditor Editor dei servizi di Monitoring	Concede l'accesso in lettura/scrittura ai servizi.

Per saperne di più sul monitoraggio dei servizi, consulta Monitoraggio dello SLO.

Ruoli di configurazione dei controlli di uptime

I seguenti ruoli concedono autorizzazioni solo per le configurazioni dei controlli di uptime:

Nome Titolo	Descrizione
roles/monitoring.uptimeCheckConfigViewer Visualizzatore delle configurazioni dei controlli di uptime di Monitoring	Concede l'accesso di sola lettura alle configurazioni dei controlli di uptime.
roles/monitoring.uptimeCheckConfigEditor Editor configurazioni controlli di uptime monitoraggio	Concede l'accesso in lettura/scrittura alle configurazioni dei controlli di uptime.

Ruoli di configurazione dell'ambito delle metriche

I seguenti ruoli concedono autorizzazioni generali per gli ambiti delle metriche:

Nome Titolo	Descrizione
roles/monitoring.metricsScopesViewer Visualizzatore ambiti metriche di Monitoring	Concede l'accesso di sola lettura agli ambiti delle metriche.
roles/monitoring.metricsScopesAdmin Amministratore ambiti metriche di monitoraggio	Concede l'accesso in lettura/scrittura agli ambiti delle metriche.

Autorizzazioni per i ruoli predefiniti

Questa sezione elenca le autorizzazioni assegnate ai ruoli predefiniti associati con Monitoring.

Nota: se non sono elencate autorizzazioni per un ruolo, significa che non sono presenti autorizzazioni pubbliche. autorizzazioni per quel ruolo.

Per ulteriori informazioni sui ruoli predefiniti, consulta IAM: ruoli e autorizzazioni. Per aiutarti a scegliere i ruoli predefiniti più appropriati, consulta la sezione Scegliere i ruoli predefiniti.

Autorizzazioni per i ruoli di monitoraggio

Role	Permissions
Monitoring Admin (roles/monitoring.admin) Provides the same access as the Monitoring Editor role (roles/monitoring.editor). Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.metricsScopes.link monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.getVerificationCode monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring AlertPolicy Editor (roles/monitoring.alertPolicyEditor) Read/write access to alerting policies.	monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update
Monitoring AlertPolicy Viewer (roles/monitoring.alertPolicyViewer) Read-only access to alerting policies.	monitoring.alertPolicies.get monitoring.alertPolicies.list
Monitoring Cloud Console Incident Editor ^Beta (roles/monitoring.cloudConsoleIncidentEditor) Read/write access to incidents from Cloud Console.
Monitoring Cloud Console Incident Viewer ^Beta (roles/monitoring.cloudConsoleIncidentViewer) Read access to incidents from Cloud Console.
Monitoring Dashboard Configuration Editor (roles/monitoring.dashboardEditor) Read/write access to dashboard configurations.	monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update
Monitoring Dashboard Configuration Viewer (roles/monitoring.dashboardViewer) Read-only access to dashboard configurations.	monitoring.dashboards.get monitoring.dashboards.list
Monitoring Editor (roles/monitoring.editor) Provides full access to information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update monitoring.groups.* monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.* monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.* monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring Metric Writer (roles/monitoring.metricWriter) Provides write-only access to metrics. This provides exactly the permissions needed by the Cloud Monitoring agent and other systems that send metrics. Lowest-level resources where you can grant this role: Project	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Monitoring Metrics Scopes Admin ^Beta (roles/monitoring.metricsScopesAdmin) Access to add and remove monitored projects from metrics scopes.	monitoring.metricsScopes.link resourcemanager.projects.get resourcemanager.projects.list
Monitoring Metrics Scopes Viewer ^Beta (roles/monitoring.metricsScopesViewer) Read-only access to metrics scopes and their monitored projects.	resourcemanager.projects.get resourcemanager.projects.list
Monitoring NotificationChannel Editor ^Beta (roles/monitoring.notificationChannelEditor) Read/write access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify
Monitoring NotificationChannel Viewer ^Beta (roles/monitoring.notificationChannelViewer) Read-only access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list
Monitoring Services Editor (roles/monitoring.servicesEditor) Read/write access to services.	monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update
Monitoring Services Viewer (roles/monitoring.servicesViewer) Read-only access to services.	monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list
Monitoring Snooze Editor (roles/monitoring.snoozeEditor)	monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update
Monitoring Snooze Viewer (roles/monitoring.snoozeViewer)	monitoring.snoozes.get monitoring.snoozes.list
Monitoring Uptime Check Configuration Editor ^Beta (roles/monitoring.uptimeCheckConfigEditor) Read/write access to uptime check configurations.	monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update
Monitoring Uptime Check Configuration Viewer ^Beta (roles/monitoring.uptimeCheckConfigViewer) Read-only access to uptime check configurations.	monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list
Monitoring Viewer (roles/monitoring.viewer) Provides read-only access to get and list information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list

Autorizzazioni per i ruoli di monitoraggio configurazione applicazioni

Role	Permissions
Ops Config Monitoring Resource Metadata Viewer ^Beta (roles/opsconfigmonitoring.resourceMetadata.viewer) Read-only access to resource metadata.	opsconfigmonitoring.resourceMetadata.list
Ops Config Monitoring Resource Metadata Writer ^Beta (roles/opsconfigmonitoring.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Ops Config Monitoring metadata agent and other systems that send metadata.	opsconfigmonitoring.resourceMetadata.write

Autorizzazioni per i ruoli di Stackdriver

Role	Permissions
Stackdriver Accounts Editor (roles/stackdriver.accounts.editor) Read/write access to manage Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.projects.* stackdriver.projects.edit stackdriver.projects.get
Stackdriver Accounts Viewer (roles/stackdriver.accounts.viewer) Read-only access to get and list information about Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Stackdriver Resource Metadata Writer ^Beta (roles/stackdriver.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Stackdriver metadata agent and other systems that send metadata.	stackdriver.resourceMetadata.write

Autorizzazioni di monitoraggio incluse nei ruoli Google Cloud

I ruoli di Google Cloud includono le seguenti autorizzazioni:

Nome Titolo	Include le autorizzazioni
roles/viewer Visualizzatore	Le autorizzazioni di Monitoring sono le stesse nel seguente paese: roles/monitoring.viewer.
roles/editor Editor.	Le autorizzazioni di Monitoring sono le stesse roles/monitoring.editor con eccezione dell'autorizzazione stackdriver.projects.edit. Il ruolo roles/editor non include l'autorizzazione stackdriver.projects.edit. Questo ruolo non concede l'autorizzazione per modificare un ambito delle metriche. Per modificare l'ambito delle metriche quando utilizzi l'API, il tuo ruolo deve includere l'autorizzazione monitoring.metricsScopes.link. Per modificare un ambito delle metriche quando utilizzi la console Google Cloud, il tuo ruolo deve includere l'autorizzazione monitoring.metricsScopes.link o devi avere il ruolo roles/monitoring.editor.
roles/owner Proprietario	Le autorizzazioni di Monitoring sono le stesse roles/monitoring.admin.

Ruoli personalizzati

Ti consigliamo di creare un ruolo personalizzato quando vuoi concedere a un'entità un insieme più limitato di autorizzazioni rispetto a quelle concesse con i ruoli predefiniti. Ad esempio, se configuri Assured Workloads perché hai requisiti di residenza dei dati o Impact Level 4 (IL4), non devi utilizzare i controlli di uptime perché non c'è alcuna garanzia che i dati dei controlli di uptime vengano conservati in una posizione geografica specifica. Per impedire l'utilizzo dei controlli di uptime, crea un ruolo che non includa nessun controllo autorizzazioni con il prefisso monitoring.uptimeCheckConfigs.

Per creare un ruolo personalizzato con autorizzazioni di monitoraggio:

• Per un ruolo che concede autorizzazioni solo per l'API Monitoring, scegliere tra le autorizzazioni Sezione Autorizzazioni e ruoli predefiniti.

• Per un ruolo che concede autorizzazioni per Monitoring nella console Google Cloud, scegli tra i gruppi di autorizzazione nella sezione Ruoli di monitoraggio.

• Per concedere la possibilità di scrivere i dati di monitoraggio, includere le autorizzazioni del ruolo roles/monitoring.metricWriter nella sezione Autorizzazioni e ruoli predefiniti.

Nota: alcune autorizzazioni, tra cui quelle necessarie per visualizzare e gestire gli incidenti, non sono supportate nei ruoli personalizzati. Senza queste autorizzazioni, il monitoraggio La console Google Cloud potrebbe non funzionare correttamente.

Se un ruolo di Monitoring viene copiato per creare ruolo personalizzato, le seguenti autorizzazioni vengono omesse:

• stackdriver.projects.get
• stackdriver.projects.edit

Il ruolo Visualizzatore account Stackdriver (roles/stackdriver.accounts.viewer) include l'autorizzazione stackdriver.projects.get. Il ruolo Editor account Stackdriver (roles/stackdriver.accounts.editor) include l'autorizzazione stackdriver.projects.edit.

Per ulteriori informazioni sui ruoli personalizzati, vai a Informazioni sui ruoli personalizzati IAM.

Ambiti di accesso a Compute Engine

Gli ambiti di accesso sono il metodo legacy per specificare le autorizzazioni per di istanze VM di Compute Engine. I seguenti ambiti di accesso si applicano Monitoraggio:

Ambito dell'accesso	Autorizzazioni concesse
https://www.googleapis.com/auth/monitoring.read	Le stesse autorizzazioni di roles/monitoring.viewer.
https://www.googleapis.com/auth/monitoring.write	Le stesse autorizzazioni di roles/monitoring.metricWriter.
https://www.googleapis.com/auth/monitoring	Accesso completo a Monitoring.
https://www.googleapis.com/auth/cloud-platform	Accesso completo a tutte le API Cloud abilitate.

Per maggiori dettagli, vai ad Ampi di accesso.

Best practice. È buona norma concedere alle istanze VM l'ambito di accesso più potente (cloud-platform) e poi usa IAM ruoli per limitare l'accesso a specifiche API e operazioni. Per maggiori dettagli, vai a Autorizzazioni dell'account di servizio.