Controla el acceso con IAM

Para usar Monitoring, debes contar con los recursos permisos de Identity and Access Management (IAM). En general, cada método REST en una API tiene un permiso asociado. Para usar el método o una función de la consola que se base en él, debes tener permiso para usar el método correspondiente. Los permisos no se otorgan directamente a los usuarios. se otorgan permisos de forma indirecta a través de roles, que agrupan varios permisos para facilitar su administración más fácil:

• Para obtener más información sobre el control de acceso, consulta Conceptos relacionados con la administración de accesos.

• Para obtener información sobre cómo otorgar roles a principales, consulta Otorga acceso a Cloud Monitoring.

Los roles para las combinaciones comunes de permisos están predefinidos. Sin embargo, También puedes crear tus propias combinaciones de permisos Crear roles personalizados de IAM

Práctica recomendada

Te recomendamos que crees grupos de Google para administrar el acceso a Proyectos de Google Cloud:

• Para obtener más información, consulta Administra grupos en la consola de Google Cloud.
• Para obtener información sobre cómo establecer límites para los roles, consulta Establece límites para otorgar roles.
• Para obtener una lista completa de los roles y permisos de IAM, consulta Referencia de roles básicos y predefinidos de IAM.

Controles del servicio de VPC

Para tener más control sobre el acceso a los datos de supervisión, usa los Controles del servicio de VPC además de IAM.

Los Controles del servicio de VPC brindan seguridad adicional para Cloud Monitoring a fin de mitigar el riesgo de robo de datos. Si usas los Controles del servicio de VPC, puedes agregar un permiso de métricas a un perímetro de servicio que proteja los recursos y servicios de Cloud Monitoring de las solicitudes que se originan fuera del perímetro.

Para obtener más información sobre los perímetros de servicio, consulta la documentación de configuración del perímetro de servicio de los Controles del servicio de VPC.

Para obtener información sobre la compatibilidad de Monitoring con los controles del servicio de VPC, incluidas las limitaciones conocidas, consulta la documentación de los controles del servicio de VPC.

Otorga acceso a Cloud Monitoring

Para administrar los roles de IAM de las principales, puedes usar el Página Identity and Access Management en la consola de Google Cloud o Google Cloud CLI. Sin embargo, Cloud Monitoring ofrece una interfaz simplificada que te permite administrar tus roles específicos de Monitoring, roles a nivel de proyecto y los roles comunes para Cloud Logging y Cloud Trace.

Nota: Para otorgar un rol de IAM a una principal, debes debe tener el rol de IAM de propietario.

Para otorgarles a las principales acceso a Monitoring, Cloud Logging, o Cloud Trace, o bien para otorgar un rol a nivel de proyecto, haz lo siguiente:

Console

1. En la consola de Google Cloud, ve a la página  Permisos:

   Ir a Permisos

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Monitoring.

   En la página Permisos, no se muestran todas las principales. Solo enumera las principales que tienen un rol a nivel de proyecto o un rol específicos de Monitoring, Logging o Ras-Trear.

   Las opciones de esta página te permiten ver todas las principales cuyos roles incluyen cualquier permiso de Monitoring.

2. Haz clic en Grant access.

3. Haz clic en Principales nuevas y, luego, ingresa el nombre de usuario de la principal. Puedes agregar varias principales.

4. Expande Selecciona un rol, elige un valor del Menú Por producto o servicio y, luego, selecciona un rol en Roles. menú:

   Selección Por producto o servicio	Selección de Roles	Descripción
   Supervisión	Visualizador de Monitoring	Ver los datos y la información de configuración de Monitoring Por ejemplo, las principales con este rol pueden ver paneles personalizados y políticas de alertas.
   Supervisión	Editor de Monitoring	Ver datos de Monitoring crear y editar configuraciones. Por ejemplo, principales con este rol puede crear paneles personalizados y políticas de alertas.
   Supervisión	Administrador de Monitoring	ver datos de Monitoring. crear y editar configuraciones, y modificar la permiso de métricas.
   Cloud Trace	Usuario de Cloud Trace	Acceso total a la consola de Trace, acceso de lectura a los seguimientos y acceso de lectura y escritura a los receptores. Para obtener más información, consulta Funciones de seguimiento.
   Cloud Trace	Administrador de Cloud Trace	Acceso total a la consola de Trace, acceso de lectura y escritura a los seguimientos y acceso de lectura y escritura a los receptores. Para obtener más información, consulta Funciones de seguimiento.
   Logging	Visor de registros	Tiene acceso de lectura a los registros. Para obtener más información, consulta Funciones de Logging.
   Logging	Administrador de Logging	Acceso completo a todas las funciones de Cloud Logging. Para más información, consulta Funciones de Logging.
   Proyecto	Visualizador	Tiene acceso de lectura a la mayoría de los recursos de Google Cloud.
   Proyecto	Editor	Puede ver, crear, actualizar y borrar la mayoría de los recursos de Google Cloud.
   Proyecto	Propietario	Acceso completo a la mayoría de los recursos de Google Cloud.

5. Opcional: Para otorgar otro rol a las mismas principales, haz clic en Agrega otro rol y repite el paso anterior.

6. Haz clic en Guardar.

En los pasos anteriores, se describe cómo otorgar ciertos roles a una principal con Páginas de supervisión en la consola de Google Cloud. Para estos de roles, esta página también admite opciones de edición y eliminación:

• Para quitar roles de una principal, selecciona la casilla junto a la principal y, luego, haz clic Quitar acceso.

• Para editar los roles de una principal, Haz clic en Editar. Después de actualizar la configuración, Haz clic en Guardar.

gcloud

Usa el comando gcloud projects add-iam-policy-binding para otorgar la función monitoring.viewer o monitoring.editor.

Por ejemplo:

export PROJECT_ID="my-test-project"
export EMAIL_ADDRESS="[e-mail]"
gcloud projects add-iam-policy-binding \
      $PROJECT_ID \
      --member="user:$EMAIL_ADDRESS" \
      --role="roles/monitoring.editor"

Puedes confirmar las funciones otorgadas con el comando gcloud projects get-iam-policy:

export PROJECT_ID="my-test-project"
gcloud projects get-iam-policy $PROJECT_ID

Funciones predefinidas

En esta sección, se enumera un subconjunto de roles de IAM predefinidos Cloud Monitoring

Funciones de Monitoring

Las siguientes funciones otorgan permisos para Monitoring:

Título del nombre	Permisos incluidos
roles/monitoring.viewer Visualizador de Monitoring	Otorga acceso de solo lectura a Monitoring en la consola de Google Cloud y la API de Cloud Monitoring.
roles/monitoring.editor Editor de Monitoring	Otorga acceso de lectura y escritura a Monitoring en la consola de Google Cloud y la API de Cloud Monitoring.
roles/monitoring.admin Administrador de Monitoring	Otorga acceso completo a Monitoring en la consola de Google Cloud y el acceso de lectura y escritura a la API de Cloud Monitoring.

Las cuentas de servicio usan la siguiente función para el acceso de solo escritura:

Título del nombre	Descripción
roles/monitoring.metricWriter Escritor de métricas de Monitoring	Esta función es para las cuentas de servicio y los agentes. No se permite el acceso a Monitoring en la consola de Google Cloud. Permite escribir datos de supervisión en un permiso de métricas.

Funciones de la política de alertas

Los siguientes roles otorgan permisos para políticas de alertas:

Título del nombre	Descripción
roles/monitoring.alertPolicyViewer Visualizador de políticas de alertas de Monitoring	Otorga acceso de solo lectura a las políticas de alertas.
roles/monitoring.alertPolicyEditor Editor de políticas de alertas de Monitoring	Otorga acceso de lectura y escritura a las políticas de alertas.

Roles del panel

Las siguientes funciones otorgan permisos solo para los paneles:

Título del nombre	Descripción
roles/monitoring.dashboardViewer Visualizador de configuración del panel de Monitoring	Otorga acceso de solo lectura a los parámetros de configuración del panel.
roles/monitoring.dashboardEditor Editor de configuración del panel de Monitoring	Otorga acceso de lectura y escritura a los parámetros de configuración del panel.

Roles de incidentes

Los siguientes roles otorgan permisos solo para incidentes:

Título del nombre	Descripción
roles/monitoring.cloudConsoleIncidentViewer Visualizador de incidentes de la consola de Cloud de supervisión	Otorga acceso para ver incidentes mediante la consola de Google Cloud.
roles/monitoring.cloudConsoleIncidentEditor Editor de incidentes de la consola de Cloud de Monitoring	Otorga acceso para ver, confirmar y cerrar incidentes mediante la consola de Google Cloud.

Nota: No puedes otorgar los permisos individuales asociados con estos roles.

Para obtener información sobre cómo resolver los errores de permisos de IAM cuando visualizar incidentes, consulta No se pueden ver los detalles del incidente debido a un error de permiso.

Roles del canal de notificaciones

Las siguientes funciones otorgan permisos solo para los canales de notificaciones:

Título del nombre	Descripción
roles/monitoring.notificationChannelViewer Visualizador de canales de notificaciones de Monitoring	Otorga acceso de solo lectura a los canales de notificaciones.
roles/monitoring.notificationChannelEditor Editor de canales de notificaciones de Monitoring	Otorga acceso de lectura y escritura a los canales de notificaciones.

Posponer roles de notificaciones

Los siguientes roles otorgan permisos para posponer notificaciones:

Título del nombre	Descripción
roles/monitoring.snoozeViewer Visualizador de alertas pospuestas de Monitoring	Otorga acceso de solo lectura a las alertas pospuestas.
roles/monitoring.snoozeEditor Editor de alertas pospuestas de Monitoring	Otorga acceso de lectura y escritura a las alertas pospuestas.

Funciones de supervisión de servicios

Las siguientes funciones otorgan permisos para administrar servicios:

Título del nombre	Descripción
roles/monitoring.servicesViewer Visualizador de servicios de Monitoring	Otorga acceso de solo lectura a los servicios.
roles/monitoring.servicesEditor Editor de servicios de Monitoring	Otorga acceso de lectura y escritura a los servicios.

Para obtener más información sobre la supervisión de servicios, consulta Supervisión de SLO.

Roles de configuración de verificaciones de tiempo de actividad

Las siguientes funciones otorgan permisos solo para la configuración de verificaciones de tiempo de actividad:

Título del nombre	Descripción
roles/monitoring.uptimeCheckConfigViewer Visualizador de configuración de verificaciones de tiempo de actividad de Monitoring	Otorga acceso de solo lectura a las configuraciones de verificaciones de tiempo de actividad.
roles/monitoring.uptimeCheckConfigEditor Editor de configuración de verificaciones de tiempo de actividad de Monitoring	Otorga acceso de lectura y escritura a las configuraciones de verificaciones de tiempo de actividad.

Roles de configuración de permisos de métricas

Las siguientes funciones otorgan permisos generales para los permisos de métricas:

Título del nombre	Descripción
roles/monitoring.metricsScopesViewer Visualizador de permisos de métricas de supervisión	Otorga acceso de solo lectura a los permisos de métricas.
roles/monitoring.metricsScopesAdmin Administrador de permisos de métricas de supervisión	Otorga acceso de lectura y escritura a los permisos de métricas.

Permisos para roles predefinidos

En esta sección, se enumeran los permisos asignados a roles predefinidos asociados con Monitoring.

Nota: Si no se enumeran permisos para un rol, no son públicos permisos para ese rol.

Para obtener más información sobre los roles predefinidos, consulta IAM: Funciones y permisos Si necesitas ayuda para elegir los roles predefinidos más adecuados, consulta Elige roles predefinidos.

Permisos para los roles de Monitoring

Role	Permissions
Monitoring Admin (roles/monitoring.admin) Provides the same access as the Monitoring Editor role (roles/monitoring.editor). Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.metricsScopes.link monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.getVerificationCode monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.publicWidgets.create monitoring.publicWidgets.delete monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.publicWidgets.update monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring AlertPolicy Editor (roles/monitoring.alertPolicyEditor) Read/write access to alerting policies.	monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update
Monitoring AlertPolicy Viewer (roles/monitoring.alertPolicyViewer) Read-only access to alerting policies.	monitoring.alertPolicies.get monitoring.alertPolicies.list
Monitoring Cloud Console Incident Editor ^Beta (roles/monitoring.cloudConsoleIncidentEditor) Read/write access to incidents from Cloud Console.
Monitoring Cloud Console Incident Viewer ^Beta (roles/monitoring.cloudConsoleIncidentViewer) Read access to incidents from Cloud Console.
Monitoring Dashboard Configuration Editor (roles/monitoring.dashboardEditor) Read/write access to dashboard configurations.	monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update
Monitoring Dashboard Configuration Viewer (roles/monitoring.dashboardViewer) Read-only access to dashboard configurations.	monitoring.dashboards.get monitoring.dashboards.list
Monitoring Editor (roles/monitoring.editor) Provides full access to information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.delete monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.update monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.delete monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.update monitoring.groups.* monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.* monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.publicWidgets.* monitoring.publicWidgets.create monitoring.publicWidgets.delete monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.publicWidgets.update monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.* monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring Metric Writer (roles/monitoring.metricWriter) Provides write-only access to metrics. This provides exactly the permissions needed by the Cloud Monitoring agent and other systems that send metrics. Lowest-level resources where you can grant this role: Project	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Monitoring Metrics Scopes Admin ^Beta (roles/monitoring.metricsScopesAdmin) Access to add and remove monitored projects from metrics scopes.	monitoring.metricsScopes.link resourcemanager.projects.get resourcemanager.projects.list
Monitoring Metrics Scopes Viewer ^Beta (roles/monitoring.metricsScopesViewer) Read-only access to metrics scopes and their monitored projects.	resourcemanager.projects.get resourcemanager.projects.list
Monitoring NotificationChannel Editor ^Beta (roles/monitoring.notificationChannelEditor) Read/write access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify
Monitoring NotificationChannel Viewer ^Beta (roles/monitoring.notificationChannelViewer) Read-only access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list
Monitoring Services Editor (roles/monitoring.servicesEditor) Read/write access to services.	monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update
Monitoring Services Viewer (roles/monitoring.servicesViewer) Read-only access to services.	monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list
Monitoring Snooze Editor (roles/monitoring.snoozeEditor)	monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update
Monitoring Snooze Viewer (roles/monitoring.snoozeViewer)	monitoring.snoozes.get monitoring.snoozes.list
Monitoring Uptime Check Configuration Editor ^Beta (roles/monitoring.uptimeCheckConfigEditor) Read/write access to uptime check configurations.	monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update
Monitoring Uptime Check Configuration Viewer ^Beta (roles/monitoring.uptimeCheckConfigViewer) Read-only access to uptime check configurations.	monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list
Monitoring Viewer (roles/monitoring.viewer) Provides read-only access to get and list information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list

Permisos para los roles de Monitoring de configuración de operaciones

Role	Permissions
Ops Config Monitoring Resource Metadata Viewer ^Beta (roles/opsconfigmonitoring.resourceMetadata.viewer) Read-only access to resource metadata.	opsconfigmonitoring.resourceMetadata.list
Ops Config Monitoring Resource Metadata Writer ^Beta (roles/opsconfigmonitoring.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Ops Config Monitoring metadata agent and other systems that send metadata.	opsconfigmonitoring.resourceMetadata.write

Permisos para funciones de Stackdriver

Role	Permissions
Stackdriver Accounts Editor (roles/stackdriver.accounts.editor) Read/write access to manage Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.projects.* stackdriver.projects.edit stackdriver.projects.get
Stackdriver Accounts Viewer (roles/stackdriver.accounts.viewer) Read-only access to get and list information about Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Stackdriver Resource Metadata Writer ^Beta (roles/stackdriver.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Stackdriver metadata agent and other systems that send metadata.	stackdriver.resourceMetadata.write

Permisos de supervisión incluidos en los roles de Google Cloud

Las funciones de Google Cloud incluyen estos permisos:

Título del nombre	Permisos incluidos
roles/viewer Visualizador	Los permisos de Monitoring son los mismos que los de roles/monitoring.viewer.
roles/editor Editor	Los permisos de Monitoring son los mismos que los de roles/monitoring.editor con el excepción del permiso stackdriver.projects.edit. La función roles/editor no incluye stackdriver.projects.edit. Este rol no otorga permiso para modificar un permiso de métricas. Para modificar un permiso de métricas cuando usas la API, tu rol debe incluir las permiso monitoring.metricsScopes.link. Para modificar un permiso de métricas cuando usas la consola de Google Cloud, tu rol debe incluir el permiso monitoring.metricsScopes.link o debes tener el rol roles/monitoring.editor
roles/owner Propietario	Los permisos de Monitoring son los mismos que los de roles/monitoring.admin.

Funciones personalizadas

Recomendamos crear un rol personalizado cuando quieras otorgarle a una principal un conjunto de permisos más limitado que los que se otorgan con roles predefinidos. Por ejemplo, si configuraste Assured Workloads. porque tienes residencia de datos o requisitos de nivel de impacto 4 (IL4) no deberías usar las verificaciones de tiempo de actividad no garantiza que los datos de la verificación de tiempo de actividad se mantengan en una ubicación geográfica específica. Para evitar el uso de verificaciones de tiempo de actividad, crea un rol que no incluya permisos con el prefijo monitoring.uptimeCheckConfigs.

Para crear una función personalizada con permisos de Monitoring, realiza las siguientes acciones:

• Para un rol que otorga permisos solo para la API de Monitoring, elige entre los permisos Permisos y roles predefinidos.

• Para un rol que otorgue permisos para Monitoring en de la consola de Google Cloud, elige entre los grupos de permisos Sección Funciones de Monitoring.

• Para otorgar la capacidad de escribir datos de supervisión, incluir los permisos del rol roles/monitoring.metricWriter en Sección Permisos y roles predefinidos.

Nota: Algunos permisos, incluidos los permisos necesarios para ver y administrar incidentes, no se admiten en roles personalizados. Sin estos permisos, Monitoring Es posible que la consola de Google Cloud no funcione correctamente.

Si se copia un rol de Monitoring para crear rol personalizado, se omiten estos permisos:

• stackdriver.projects.get
• stackdriver.projects.edit

El rol Visualizador de cuentas de Stackdriver (roles/stackdriver.accounts.viewer) incluye el permiso stackdriver.projects.get. El rol Editor de cuentas de Stackdriver (roles/stackdriver.accounts.editor) incluye el permiso stackdriver.projects.edit.

Para obtener más información sobre las funciones personalizadas, consulta Comprende las funciones personalizadas de IAM.

Permisos de acceso de Compute Engine

Los niveles de acceso son el método heredado de especificar permisos para tus instancias de VM de Compute Engine. Los siguientes niveles de acceso se aplican a Monitoring:

Nivel de acceso	Permisos otorgados
https://www.googleapis.com/auth/monitoring.read	Los mismos permisos que en roles/monitoring.viewer
https://www.googleapis.com/auth/monitoring.write	Los mismos permisos que en roles/monitoring.metricWriter
https://www.googleapis.com/auth/monitoring	Acceso completo a Monitoring
https://www.googleapis.com/auth/cloud-platform	Acceso completo a todas las API de Cloud habilitadas

Para obtener más información, consulta Permisos de acceso.

Prácticas recomendadas: Se recomienda asignar a las instancias de VM la permiso de acceso más potente (cloud-platform) y, luego, usar IAM para restringir el acceso a APIs y operaciones específicas. Para obtener más información, consulta Permisos de la cuenta de servicio.