Controle o acesso com a IAM

Para usar o Monitoring, tem de ter as autorizações de gestão de identidade e de acesso (IAM) adequadas. Em geral, cada método REST numa API tem uma autorização associada. Para usar o método ou uma funcionalidade da consola que dependa do método, tem de ter autorização para usar o método correspondente. As autorizações não são concedidas diretamente aos utilizadores. Em vez disso, são concedidas indiretamente através de funções, que agrupam várias autorizações para facilitar a respetiva gestão:

• Para obter informações sobre o controlo de acesso, consulte o artigo Conceitos relacionados com a gestão de acessos.

• Para obter informações sobre como conceder funções a responsáveis, consulte o artigo Conceda acesso ao Cloud Monitoring.

As funções para combinações comuns de autorizações estão predefinidas para si. No entanto, também pode criar as suas próprias combinações de autorizações através da criação de funções personalizadas do IAM.

Prática recomendada

Recomendamos que crie grupos Google para gerir o acesso a Google Cloud projetos:

• Para mais informações, consulte o artigo Gerir grupos na Google Cloud consola.
• Para obter informações sobre como definir limites para funções, consulte o artigo Defina limites para a atribuição de funções.
• Para ver uma lista completa de funções e autorizações de IAM, consulte a referência de funções básicas e predefinidas de IAM.

VPC Service Controls

Para controlar ainda mais o acesso aos dados de monitorização, use os VPC Service Controls, além da IAM.

O VPC Service Controls oferece segurança adicional para o Cloud Monitoring para ajudar a mitigar o risco de exfiltração de dados. Com os VPC Service Controls, pode adicionar um âmbito de métricas a um perímetro de serviço que protege os recursos e os serviços do Cloud Monitoring de pedidos originados fora do perímetro.

Para saber mais acerca dos perímetros de serviço, consulte a documentação de configuração do perímetro de serviço do VPC Service Controls.

Para informações sobre o suporte do Monitoring para VPC Service Controls, incluindo limitações conhecidas, consulte a documentação do VPC Service Controls do Monitoring.

Conceda acesso ao Cloud Monitoring

Para gerir as funções da IAM para os responsáveis, pode usar a página Gestão de identidade e acesso na Google Cloud consola ou na CLI do Google Cloud. No entanto, o Cloud Monitoring oferece uma interface simplificada que lhe permite gerir as suas funções específicas do Monitoring, as funções ao nível do projeto e as funções comuns do Cloud Logging e Cloud Trace.

Nota: para conceder a um principal uma função do IAM, tem de ter a função de IAM de proprietário.

Para conceder aos principais acesso ao Monitoring, ao Cloud Logging ou ao Cloud Trace, ou para conceder uma função ao nível do projeto, faça o seguinte:

Consola

1. Na Google Cloud consola, aceda à página  Autorizações:

   Aceda a Autorizações

   Se usar a barra de pesquisa para encontrar esta página, selecione o resultado cujo subtítulo é Monitorização.

   A página Autorizações não apresenta todos os responsáveis. Apenas lista os responsáveis que têm uma função ao nível do projeto ou uma função específica do Monitoring, Logging ou Trace.

   As opções nesta página permitem-lhe ver todos os responsáveis cujas funções incluem qualquer autorização de monitorização.

2. Clique em Conceder acesso.

3. Clique em Novos responsáveis e introduza o nome de utilizador do responsável. Pode adicionar vários responsáveis.

4. Expanda Selecionar uma função, selecione um valor no menu Por produto ou serviço e, de seguida, selecione uma função no menu Funções:

   Seleção por produto ou serviço	Seleção de funções	Descrição
   Monitorização	Visualizador de monitorização	Ver dados de monitorização e informações de configuração. Por exemplo, os responsáveis com esta função podem ver painéis de controlo personalizados e políticas de alerta.
   Monitorização	Editor de monitorização	Ver dados de monitorização e criar e editar configurações. Por exemplo, os principais com esta função podem criar painéis de controlo personalizados e políticas de alerta.
   Monitorização	Administrador de monitorização	Acesso total à monitorização na Google Cloud consola e na API Cloud Monitoring. Pode ver dados de monitorização, criar e editar configurações, e modificar o âmbito das métricas.
   Cloud Trace	Utilizador do Cloud Trace	Acesso total à consola de rastreio, acesso de leitura aos rastreios e acesso de leitura/escrita aos destinos. Para mais informações, consulte o artigo Rastreie funções.
   Cloud Trace	Administrador do Cloud Trace	Acesso total à consola de rastreio, acesso de leitura/escrita a rastreios e acesso de leitura/escrita a destinos. Para mais informações, consulte o artigo Rastreie funções.
   Registo	Visualizador de registos	Ver acesso aos registos. Para mais informações, consulte o artigo Funções de registo.
   Registo	Administrador de registo	Acesso total a todas as funcionalidades do Cloud Logging. Para mais informações, consulte Funções de registo.
   Projeto	Leitor	Acesso para visualização à maioria dos Google Cloud recursos.
   Projeto	Editor	Ver, criar, atualizar e eliminar a maioria dos Google Cloud recursos.
   Projeto	Proprietário	Acesso total à maioria dos Google Cloud recursos.

5. Opcional: para conceder a outros responsáveis outra função, clique em Adicionar outra função e repita o passo anterior.

6. Clique em Guardar.

Os passos anteriores descrevem como conceder determinadas funções a um principal através das páginas de monitorização na Google Cloud consola. Para estas funções, esta página também suporta opções de edição e eliminação:

• Para remover funções de um principal, selecione a caixa junto ao principal e, de seguida, clique em Remover acesso.

• Para editar as funções de um principal, clique em Editar. Depois de atualizar as definições, clique em Guardar.

gcloud

Use o comando gcloud projects add-iam-policy-binding para conceder a função monitoring.viewer ou monitoring.editor.

Por exemplo:

export PROJECT_ID="my-test-project"
export EMAIL_ADDRESS="[e-mail]"
gcloud projects add-iam-policy-binding \
      $PROJECT_ID \
      --member="user:$EMAIL_ADDRESS" \
      --role="roles/monitoring.editor"

Pode confirmar as funções concedidas através do comando gcloud projects get-iam-policy:

export PROJECT_ID="my-test-project"
gcloud projects get-iam-policy $PROJECT_ID

Funções predefinidas

Esta secção apresenta um subconjunto de funções do IAM predefinidas pelo Cloud Monitoring.

Funções de monitorização

As seguintes funções concedem autorizações gerais para a monitorização:

Nome Título	Inclui autorizações
roles/monitoring.viewer Visitante de monitorização	Concede acesso só de leitura à monitorização na Google Cloud consola e na API Cloud Monitoring.
roles/monitoring.editor Editor de monitorização	Concede acesso de leitura/escrita à monitorização na Google Cloud consola e na API Cloud Monitoring.
roles/monitoring.admin Administrador de monitorização	Concede acesso total à monitorização na Google Cloud consola e à Cloud Monitoring API.

A seguinte função é usada pelas contas de serviço para acesso só de escrita:

Nome Título	Descrição
roles/monitoring.metricWriter Escritor de métricas de monitorização	Esta função destina-se a contas de serviço e agentes. Não permite o acesso à monitorização na consola Google Cloud . Permite a escrita de dados de monitorização num âmbito de métricas.

Funções da política de alerta

As seguintes funções concedem autorizações para políticas de alerta:

Nome Título	Descrição
roles/monitoring.alertPolicyViewer Visualizador da política de alertas de monitorização	Concede acesso só de leitura às políticas de alerta.
roles/monitoring.alertPolicyEditor Monitorizar o editor de políticas de alerta	Concede acesso de leitura/escrita às políticas de alerta.

Funções do painel de controlo

As seguintes funções concedem autorizações apenas para painéis de controlo:

Nome Título	Descrição
roles/monitoring.dashboardViewer Visualizador de configuração do painel de controlo de monitorização	Concede acesso só de leitura às configurações do painel de controlo.
roles/monitoring.dashboardEditor Editor de configuração do painel de controlo de monitorização	Concede acesso de leitura/escrita às configurações do painel de controlo.

Funções de incidentes

As seguintes funções concedem autorizações apenas para incidentes:

Nome Título	Descrição
roles/monitoring.cloudConsoleIncidentViewer Monitorização do visualizador de incidentes da Cloud Console	Concede acesso à visualização de incidentes através da Google Cloud consola.
roles/monitoring.cloudConsoleIncidentEditor Editor de incidentes da Cloud Console de monitorização	Concede acesso para ver, confirmar e fechar incidentes através da consola Google Cloud .

Nota: não pode conceder as autorizações individuais associadas a estas funções.

Para obter informações sobre como resolver erros de autorização do IAM ao ver incidentes, consulte o artigo Não é possível ver os detalhes do incidente devido a um erro de autorização.

Funções do canal de notificações

As seguintes funções concedem autorizações apenas para canais de notificação:

Nome Título	Descrição
roles/monitoring.notificationChannelViewer Monitoring NotificationChannel Viewer	Concede acesso só de leitura aos canais de notificação.
roles/monitoring.notificationChannelEditor Monitorização do editor NotificationChannel	Concede acesso de leitura/escrita aos canais de notificação.

Suspenda funções de notificação

As seguintes funções concedem autorizações para adiar notificações:

Nome Título	Descrição
roles/monitoring.snoozeViewer Leitor de adiamento da monitorização	Concede acesso só de leitura a adiamentos.
roles/monitoring.snoozeEditor Editor de adiamento da monitorização	Concede acesso de leitura/escrita a adiamentos.

Funções de monitorização de serviços

As seguintes funções concedem autorizações para gerir serviços:

Nome Título	Descrição
roles/monitoring.servicesViewer Visualizador de serviços de monitorização	Concede acesso só de leitura aos serviços.
roles/monitoring.servicesEditor Editor de serviços de monitorização	Concede acesso de leitura/escrita aos serviços.

Para mais informações sobre a monitorização de serviços, consulte o artigo Monitorização de SLOs.

Funções de configuração de verificações de tempo de atividade

As seguintes funções concedem autorizações apenas para configurações de verificações de tempo de atividade:

Nome Título	Descrição
roles/monitoring.uptimeCheckConfigViewer Visualizador de configurações da verificação do tempo de atividade da monitorização	Concede acesso só de leitura às configurações de verificação do tempo de atividade.
roles/monitoring.uptimeCheckConfigEditor Editor de configurações da verificação do tempo de atividade de monitorização	Concede acesso de leitura/escrita às configurações de verificação do tempo de atividade.

Funções de configuração do âmbito das métricas

As seguintes funções concedem autorizações gerais para os âmbitos das métricas:

Nome Título	Descrição
roles/monitoring.metricsScopesViewer Os âmbitos das métricas de monitorização são os visitantes	Concede acesso só de leitura aos âmbitos das métricas.
roles/monitoring.metricsScopesAdmin Âmbitos das métricas de monitorização do administrador	Concede acesso de leitura/escrita aos âmbitos das métricas.

Autorizações para funções predefinidas

Esta secção lista as autorizações atribuídas a funções predefinidas associadas à monitorização.

Nota: se não forem apresentadas autorizações para uma função, significa que não existem autorizações públicas para essa função.

Para mais informações sobre as funções predefinidas, consulte o artigo IAM: funções e autorizações. Para obter ajuda na escolha das funções predefinidas mais adequadas, consulte o artigo Escolha funções predefinidas.

Autorizações para funções de monitorização

Role	Permissions
Monitoring Admin (roles/monitoring.admin) Provides full access to Cloud Monitoring. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.* monitoring.alertPolicies.create monitoring.alertPolicies.createTagBinding monitoring.alertPolicies.delete monitoring.alertPolicies.deleteTagBinding monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.listEffectiveTags monitoring.alertPolicies.listTagBindings monitoring.alertPolicies.update monitoring.alerts.get monitoring.alerts.list monitoring.dashboards.create monitoring.dashboards.createTagBinding monitoring.dashboards.delete monitoring.dashboards.deleteTagBinding monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.listEffectiveTags monitoring.dashboards.listTagBindings monitoring.dashboards.update monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.metricsScopes.link monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.getVerificationCode monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring AlertPolicy Editor (roles/monitoring.alertPolicyEditor) Read/write access to alerting policies.	monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.createTagBinding monitoring.alertPolicies.delete monitoring.alertPolicies.deleteTagBinding monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.listEffectiveTags monitoring.alertPolicies.listTagBindings monitoring.alertPolicies.update
Monitoring AlertPolicy Viewer (roles/monitoring.alertPolicyViewer) Read-only access to alerting policies.	monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.listEffectiveTags monitoring.alertPolicies.listTagBindings
Monitoring Alert Viewer ^Beta (roles/monitoring.alertViewer) Read access to alerts.	monitoring.alerts.* monitoring.alerts.get monitoring.alerts.list
Monitoring Cloud Console Incident Editor ^Beta (roles/monitoring.cloudConsoleIncidentEditor) Read/write access to incidents from Cloud Console.	monitoring.alerts.* monitoring.alerts.get monitoring.alerts.list
Monitoring Cloud Console Incident Viewer ^Beta (roles/monitoring.cloudConsoleIncidentViewer) Read access to incidents from Cloud Console.	monitoring.alerts.* monitoring.alerts.get monitoring.alerts.list
Monitoring Dashboard Configuration Editor (roles/monitoring.dashboardEditor) Read/write access to dashboard configurations.	monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.createTagBinding monitoring.dashboards.delete monitoring.dashboards.deleteTagBinding monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.listEffectiveTags monitoring.dashboards.listTagBindings monitoring.dashboards.update
Monitoring Dashboard Configuration Viewer (roles/monitoring.dashboardViewer) Read-only access to dashboard configurations.	monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.listEffectiveTags monitoring.dashboards.listTagBindings
Monitoring Editor (roles/monitoring.editor) Provides full access to information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.* monitoring.alertPolicies.create monitoring.alertPolicies.createTagBinding monitoring.alertPolicies.delete monitoring.alertPolicies.deleteTagBinding monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.listEffectiveTags monitoring.alertPolicies.listTagBindings monitoring.alertPolicies.update monitoring.alerts.* monitoring.alerts.get monitoring.alerts.list monitoring.dashboards.* monitoring.dashboards.create monitoring.dashboards.createTagBinding monitoring.dashboards.delete monitoring.dashboards.deleteTagBinding monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.listEffectiveTags monitoring.dashboards.listTagBindings monitoring.dashboards.update monitoring.groups.* monitoring.groups.create monitoring.groups.delete monitoring.groups.get monitoring.groups.list monitoring.groups.update monitoring.metricDescriptors.* monitoring.metricDescriptors.create monitoring.metricDescriptors.delete monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update monitoring.timeSeries.* monitoring.timeSeries.create monitoring.timeSeries.list monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update opsconfigmonitoring.* opsconfigmonitoring.resourceMetadata.list opsconfigmonitoring.resourceMetadata.write resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.* stackdriver.projects.edit stackdriver.projects.get stackdriver.resourceMetadata.list stackdriver.resourceMetadata.write
Monitoring Metric Writer (roles/monitoring.metricWriter) Provides write-only access to metrics. This provides exactly the permissions needed by the Cloud Monitoring agent and other systems that send metrics. Lowest-level resources where you can grant this role: Project	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Monitoring Metrics Scopes Admin ^Beta (roles/monitoring.metricsScopesAdmin) Access to add and remove monitored projects from metrics scopes.	monitoring.metricsScopes.link resourcemanager.projects.get resourcemanager.projects.list
Monitoring Metrics Scopes Viewer ^Beta (roles/monitoring.metricsScopesViewer) Read-only access to metrics scopes and their monitored projects.	resourcemanager.projects.get resourcemanager.projects.list
Monitoring NotificationChannel Editor ^Beta (roles/monitoring.notificationChannelEditor) Read/write access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.create monitoring.notificationChannels.delete monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.notificationChannels.sendVerificationCode monitoring.notificationChannels.update monitoring.notificationChannels.verify
Monitoring NotificationChannel Viewer ^Beta (roles/monitoring.notificationChannelViewer) Read-only access to notification channels.	monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list
Monitoring Service Agent (roles/monitoring.notificationServiceAgent) Grants permissions to deliver notifications directly to resources within the target project, such as delivering to Pub/Sub topics within the project. Warning: Do not grant service agent roles to any principals except service agents.	bigquery.jobs.create cloudfunctions.functions.get cloudtrace.traces.patch logging.links.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.list run.routes.invoke servicedirectory.networks.access servicedirectory.services.resolve serviceusage.services.use
Monitoring Services Editor (roles/monitoring.servicesEditor) Read/write access to services.	monitoring.services.* monitoring.services.create monitoring.services.delete monitoring.services.get monitoring.services.list monitoring.services.update monitoring.slos.* monitoring.slos.create monitoring.slos.delete monitoring.slos.get monitoring.slos.list monitoring.slos.update
Monitoring Services Viewer (roles/monitoring.servicesViewer) Read-only access to services.	monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list
Monitoring Snooze Editor (roles/monitoring.snoozeEditor)	monitoring.snoozes.* monitoring.snoozes.create monitoring.snoozes.get monitoring.snoozes.list monitoring.snoozes.update
Monitoring Snooze Viewer (roles/monitoring.snoozeViewer)	monitoring.snoozes.get monitoring.snoozes.list
Monitoring Uptime Check Configuration Editor ^Beta (roles/monitoring.uptimeCheckConfigEditor) Read/write access to uptime check configurations.	monitoring.uptimeCheckConfigs.* monitoring.uptimeCheckConfigs.create monitoring.uptimeCheckConfigs.delete monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list monitoring.uptimeCheckConfigs.update
Monitoring Uptime Check Configuration Viewer ^Beta (roles/monitoring.uptimeCheckConfigViewer) Read-only access to uptime check configurations.	monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list
Monitoring Viewer (roles/monitoring.viewer) Provides read-only access to get and list information about all monitoring data and configurations. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.alertPolicies.listEffectiveTags monitoring.alertPolicies.listTagBindings monitoring.alerts.* monitoring.alerts.get monitoring.alerts.list monitoring.dashboards.get monitoring.dashboards.list monitoring.dashboards.listEffectiveTags monitoring.dashboards.listTagBindings monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list
Ops Config Monitoring Resource Metadata Viewer ^Beta (roles/opsconfigmonitoring.resourceMetadata.viewer) Read-only access to resource metadata.	opsconfigmonitoring.resourceMetadata.list
Ops Config Monitoring Resource Metadata Writer ^Beta (roles/opsconfigmonitoring.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Ops Config Monitoring metadata agent and other systems that send metadata.	opsconfigmonitoring.resourceMetadata.write
Stackdriver Accounts Editor (roles/stackdriver.accounts.editor) Read/write access to manage Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.projects.* stackdriver.projects.edit stackdriver.projects.get
Stackdriver Accounts Viewer (roles/stackdriver.accounts.viewer) Read-only access to get and list information about Stackdriver account structure.	resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Stackdriver Resource Metadata Writer ^Beta (roles/stackdriver.resourceMetadata.writer) Write-only access to resource metadata. This provides exactly the permissions needed by the Stackdriver metadata agent and other systems that send metadata.	stackdriver.resourceMetadata.write

Autorizações de monitorização incluídas nas Google Cloud funções básicas

As Google Cloud funções básicas incluem as seguintes autorizações:

Nome Título	Inclui autorizações
roles/viewer Visitante	As autorizações de monitorização são as mesmas que as em roles/monitoring.viewer.
roles/editor Editor	As autorizações de monitorização são as mesmas que as da roles/monitoring.editor, com a exceção da autorização stackdriver.projects.edit. A função roles/editor não inclui a autorização stackdriver.projects.edit. Esta função não concede autorização para modificar um âmbito de métricas. Para modificar um âmbito de métricas quando usa a API, a sua função tem de incluir a autorização monitoring.metricsScopes.link. Para modificar um âmbito de métricas quando usa a Google Cloud consola, a sua função tem de incluir a autorização monitoring.metricsScopes.link ou tem de ter a função roles/monitoring.editor.
roles/owner Proprietário	As autorizações de monitorização são as mesmas que as de roles/monitoring.admin.

Funções personalizadas

Pode querer criar uma função personalizada quando quiser conceder a um principal um conjunto de autorizações mais limitado do que o concedido com funções predefinidas. Por exemplo, se configurar o Assured Workloads porque tem requisitos de residência dos dados ou Nível de impacto 4 (IL4), não deve usar verificações de tempo de atividade, uma vez que não existe garantia de que os dados de verificação de tempo de atividade sejam mantidos numa localização geográfica específica. Para impedir a utilização de verificações de tempo de atividade, crie uma função que não inclua autorizações com o prefixo monitoring.uptimeCheckConfigs.

Para criar uma função personalizada com autorizações de monitorização, faça o seguinte:

• Para uma função que conceda autorizações apenas para a API Monitoring, escolha entre as autorizações na secção Autorizações e funções predefinidas.

• Para uma função que conceda autorizações para a monitorização na Google Cloud consola, escolha entre os grupos de autorizações na secção Funções de monitorização.

• Para conceder a capacidade de escrever dados de monitorização, inclua as autorizações da função roles/monitoring.metricWriter na secção Autorizações e funções predefinidas.

Nota: algumas autorizações, incluindo as autorizações necessárias para ver e gerir incidentes, não são suportadas em funções personalizadas. Sem estas autorizações, a monitorização na Google Cloud consola pode não funcionar corretamente.

Se uma função de monitorização for copiada para criar uma função personalizada, estas autorizações são omitidas:

• stackdriver.projects.get
• stackdriver.projects.edit

A função Visitante das contas do Stackdriver (roles/stackdriver.accounts.viewer) inclui a autorização stackdriver.projects.get. A função Editor de contas do Stackdriver (roles/stackdriver.accounts.editor) inclui a autorização stackdriver.projects.edit.

Para mais informações sobre funções personalizadas, aceda a Compreender as funções personalizadas do IAM.

Âmbitos de acesso do Compute Engine

Os âmbitos de acesso são o método antigo de especificar autorizações para as suas instâncias de VM do Compute Engine. Os seguintes âmbitos de acesso aplicam-se à Monitorização:

Âmbito de acesso	Autorizações concedidas
https://www.googleapis.com/auth/monitoring.read	As mesmas autorizações que em roles/monitoring.viewer.
https://www.googleapis.com/auth/monitoring.write	As mesmas autorizações que em roles/monitoring.metricWriter.
https://www.googleapis.com/auth/monitoring	Acesso total à monitorização.
https://www.googleapis.com/auth/cloud-platform	Acesso total a todas as APIs Cloud ativadas.

Para mais detalhes, aceda a Âmbitos de acesso.

Prática recomendada. É uma boa prática conceder às suas instâncias de VM o âmbito de acesso mais poderoso (cloud-platform) e, em seguida, usar funções do IAM para restringir o acesso a APIs e operações específicas. Para ver detalhes, aceda a Autorizações da conta de serviço.