Control de acceso

Stackdriver Monitoring controla el acceso a los datos de supervisión en los lugares de trabajo mediante funciones y permisos de Cloud Identity and Access Management (Cloud IAM).

Descripción general

Para usar Monitoring, el lugar de trabajo debe tener otorgado los permisos de Cloud IAM adecuados.

En general, cada método REST en una API tiene un permiso asociado, y debes tener el permiso para usar el método correspondiente. Los permisos no se otorgan directamente a los usuarios. En cambio, los permisos se otorgan indirectamente a través de funciones, que agrupan varios permisos para facilitar su administración. Para obtener más información sobre estos conceptos, consulta la documentación de Cloud IAM sobre funciones, permisos y conceptos relacionados.

Las funciones para combinaciones comunes de permisos están predefinidas, pero también puedes crear tus propias combinaciones de permisos con las funciones personalizadas de Cloud IAM.

Funciones predefinidas

Las siguientes funciones de Cloud IAM están predefinidas por Stackdriver Monitoring. Estas otorgan permisos solo para Monitoring.

Monitoring

Las siguientes funciones otorgan permisos generales para Monitoring:

ID de la función Nombre de la función	Descripción
`roles/monitoring.viewer` Visualizador de Monitoring	Otorga acceso de solo lectura a la API y la consola de Stackdriver Monitoring
`roles/monitoring.editor` Editor de Monitoring	Otorga acceso de solo lectura y escritura a la consola y a la API de Stackdriver Monitoring, y te permite escribir datos de monitoreo en un lugar de trabajo
`roles/monitoring.admin` Administrador de Monitoring	Otorga acceso completo a todas las funciones de Monitoring

Las cuentas de servicio usan la siguiente función para el acceso de solo escritura:

ID de la función Nombre de la función	Descripción
`roles/monitoring.metricWriter` Escritor de métricas de Monitoring	Permite escribir datos de Monitoring en un lugar de trabajo, pero no permite el acceso a la consola de Stackdriver Monitoring. Para cuentas de servicio.

Políticas de alertas

Las siguientes funciones otorgan permisos solo para políticas de alertas:

ID de la función Nombre de la función	Descripción
`roles/monitoring.alertPolicyViewer` Visualizador de políticas de alertas de Monitoring	Otorga acceso de solo lectura a las políticas de alertas
`roles/monitoring.alertPolicyEditor` Editor de políticas de alertas de Monitoring	Otorga acceso de lectura y escritura a las políticas de alertas

Paneles

Las siguientes funciones otorgan permisos solo para los paneles:

ID de la función Nombre de la función	Descripción
`roles/monitoring.dashboardViewer` Visualizador de configuración del panel de Monitoring	Otorga acceso de solo lectura a la configuración del panel
`roles/monitoring.dashboardEditor` Editor de configuración del panel de Monitoring	Otorga acceso de lectura y escritura a la configuración del panel

Canales de notificación

Las siguientes funciones otorgan permisos solo para los canales de notificaciones:

ID de la función Nombre de la función	Descripción
`roles/monitoring.notificationChannelViewer` Visualizador de canales de notificaciones de Monitoring	Otorga acceso de solo lectura a los canales de notificaciones
`roles/monitoring.notificationChannelEditor` Editor de canales de notificaciones de Monitoring	Otorga acceso de lectura y escritura a los canales de notificaciones.

Supervisión de servicios

Las siguientes funciones otorgan permisos para administrar servicios:

ID de la función Nombre de la función	Descripción
`roles/monitoring.servicesViewer` Visualizador de servicios de Monitoring	Otorga acceso de solo lectura a los servicios
`roles/monitoring.servicesEditor` Editor de servicios de Monitoring	Otorga acceso de lectura y escritura a los servicios

Para obtener más información sobre la supervisión de servicios, consulta Supervisión de servicios: cómo trabajar con la API.

Configuración de verificaciones de tiempo de actividad

Las siguientes funciones otorgan permisos solo para la configuración de verificaciones de tiempo de actividad:

ID de la función Nombre de la función	Descripción
`roles/monitoring.uptimeCheckConfigViewer` Visualizador de configuración de verificaciones de tiempo de actividad de Monitoring	Otorga acceso de solo lectura a la configuración de verificaciones de tiempo de actividad
`roles/monitoring.uptimeCheckConfigEditor` Editor de configuración de verificaciones de tiempo de actividad de Monitoring	Otorga acceso de lectura y escritura a la configuración de verificaciones del tiempo de actividad

Google Cloud

Las siguientes funciones otorgan permisos para muchos servicios y recursos en Google Cloud, incluido Monitoring:

ID de la función Nombre de la función	Descripción
`roles/viewer` Visualizador del proyecto	Otorga acceso de solo lectura a la API y la consola de Stackdriver Monitoring
`roles/editor` Editor del proyecto	Otorga acceso de solo escritura a la API y la consola de Stackdriver Monitoring
`roles/owner` Propietario del proyecto	Otorga acceso completo a la API y la consola de Stackdriver Monitoring

Funciones personalizadas

También puedes crear tus propias funciones personalizadas que contengan listas de permisos. Para obtener más detalles acerca de las funciones y los permisos, ve a Permisos y funciones y Funciones personalizadas en esta página.

Permisos y funciones

En esta sección, se enumeran los permisos y funciones de Cloud IAM que se aplican a Monitoring.

Permisos de la API

Cada método de la API de Monitoring requiere un permiso específico de Cloud IAM, como se muestra en la siguiente tabla.

Método de la API de Monitoring	Permiso	Tipo de recurso
`projects.alertPolicies.create`	`monitoring.alertPolicies.create`	proyecto¹
`projects.alertPolicies.delete`	`monitoring.alertPolicies.delete`	`AlertPolicy`
`projects.alertPolicies.get`	`monitoring.alertPolicies.get`	`AlertPolicy`
`projects.alertPolicies.list`	`monitoring.alertPolicies.list`	proyecto¹
`projects.alertPolicies.patch`	`monitoring.alertPolicies.update`	`AlertPolicy`
`projects.dashboards.create`	`monitoring.dashboards.create`	proyecto¹
`projects.dashboards.delete`	`monitoring.dashboards.delete`	proyecto¹
`projects.dashboards.get`	`monitoring.dashboards.get`	proyecto¹
`projects.dashboards.list`	`monitoring.dashboards.list`	proyecto¹
`projects.dashboards.patch`	`monitoring.dashboards.update`	proyecto¹
`projects.groups.create`	`monitoring.groups.create`	proyecto¹
`projects.groups.delete`	`monitoring.groups.delete`	`Group`
`projects.groups.get`	`monitoring.groups.get`	`Group`
`projects.groups.list`	`monitoring.groups.list`	proyecto¹
`projects.groups.update`	`monitoring.groups.update`	`Group`
`projects.groups.members.list`	`monitoring.groups.get`	`Group`
`projects.metricDescriptors.create`	`monitoring.metricDescriptors.create`	proyecto
`projects.metricDescriptors.delete`	`monitoring.metricDescriptors.delete`	`MetricDescriptor`
`projects.metricDescriptors.get`	`monitoring.metricDescriptors.get`	`MetricDescriptor`
`projects.metricDescriptors.list`	`monitoring.metricDescriptors.list`	proyecto
`projects.monitoredResourceDescriptors.get`	`monitoring.monitoredResourceDescriptors.get`	`MonitoredResourceDescriptor`
`projects.monitoredResourceDescriptors.list`	`monitoring.monitoredResourceDescriptors.list`	proyecto
`projects.notificationChannelDescriptors.get`	`monitoring.notificationChannelDescriptors.get`	`NotificationChannelDescriptor`
`projects.notificationChannelDescriptors.list`	`monitoring.notificationChannelDescriptors.list`	proyecto¹
`projects.notificationChannels.create`	`monitoring.notificationChannels.create`	proyecto¹
`projects.notificationChannels.delete`	`monitoring.notificationChannels.delete`	`NotificationChannel`
`projects.notificationChannels.get`	`monitoring.notificationChannels.get`	`NotificationChannel`
`projects.notificationChannels.getVerificationCode`	`monitoring.notificationChannels.getVerificationCode`	`NotificationChannel`
`projects.notificationChannels.list`	`monitoring.notificationChannels.list`	proyecto¹
`projects.notificationChannels.patch`	`monitoring.notificationChannels.update`	`NotificationChannel`
`projects.notificationChannels.sendVerificationCode`	`monitoring.notificationChannels.sendVerificationCode`	`NotificationChannel`
`projects.notificationChannels.verify`	`monitoring.notificationChannels.verify`	`NotificationChannel`
`projects.services.create`	`monitoring.services.create`	proyecto¹
`projects.services.delete`	`monitoring.services.delete`	`Service`
`projects.services.get`	`monitoring.services.get`	`Service`
`projects.services.list`	`monitoring.services.list`	proyecto¹
`projects.services.patch`	`monitoring.services.update`	`Service`
`projects.services.serviceLevelObjectives.create`	`monitoring.slos.create`	proyecto¹
`projects.services.serviceLevelObjectives.delete`	`monitoring.slos.delete`	`ServiceLevelObjective`
`projects.services.serviceLevelObjectives.get`	`monitoring.slos.get`	`ServiceLevelObjective`
`projects.services.serviceLevelObjectives.list`	`monitoring.slos.list`	proyecto¹
`projects.services.serviceLevelObjectives.patch`	`monitoring.slos.update`	`ServiceLevelObjective`
`projects.timeSeries.create`	`monitoring.timeSeries.create`	proyecto
`projects.timeSeries.list`	`monitoring.timeSeries.list`	proyecto
`projects.uptimeCheckConfigs.create`	`monitoring.uptimeCheckConfigs.create`	`UptimeCheckConfig`
`projects.uptimeCheckConfigs.delete`	`monitoring.uptimeCheckConfigs.delete`	`UptimeCheckConfig`
`projects.uptimeCheckConfigs.get`	`monitoring.uptimeCheckConfigs.get`	`UptimeCheckConfig`
`projects.uptimeCheckConfigs.list`	`monitoring.uptimeCheckConfigs.list`	`UptimeCheckConfig`
`projects.uptimeCheckConfigs.patch`	`monitoring.uptimeCheckConfigs.update`	`UptimeCheckConfig`

-> ¹ El proyecto debe estar en un lugar de trabajo.

Permisos de la consola de Stackdriver Monitoring

Cada característica de la consola de Stackdriver Monitoring requiere que tengas el permiso para la API que se usa con el fin de implementarla. Por ejemplo, la capacidad de explorar grupos requiere que tengas permiso para los métodos list y get aplicables a grupos y miembros del grupo. Es posible que la consola de Stackdriver Monitoring pierda funcionalidad si se revocan los permisos necesarios.

En la siguiente tabla, se enumeran los permisos necesarios para usar la consola de Stackdriver Monitoring:

Actividad de la consola de Stackdriver Monitoring	Permisos necesarios	Para el tipo de recurso
Acceso completo de solo lectura	El conjunto de permisos incluidos en la función `roles/monitoring.viewer`	proyecto¹
Consola de acceso de lectura y escritura	El conjunto de permisos incluidos en la función `roles/monitoring.editor`	proyecto¹
Acceso completo a la consola	El conjunto de permisos incluidos en la función `roles/monitoring.admin`	proyecto¹

¹ El proyecto debe estar en un lugar de trabajo.

Funciones

En la siguiente tabla, se enumeran las funciones de Cloud IAM que otorgan acceso a Monitoring y los permisos asociados con cada función. Varias de estas funciones están graduadas: por ejemplo, la función roles/monitoring.editor incluye todos los permisos de la función roles/monitoring.viewer, más un conjunto adicional de permisos.

Las funciones se pueden asignar solo a nivel de proyecto y los proyectos deben estar en los lugares de trabajo.

Monitoring

Las funciones de Monitoring incluyen los siguientes permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.viewer` Visualizador de Monitoring	`monitoring.alertPolicies.get` `monitoring.alertPolicies.list` `monitoring.analyzedMetrics.get`¹ `monitoring.analyzedMetrics.list`¹ `monitoring.dashboards.get` `monitoring.dashboards.list` `monitoring.groups.get` `monitoring.groups.list` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.monitoredResourceDescriptors.get` `monitoring.monitoredResourceDescriptors.list` `monitoring.notificationChannelDescriptors.get` `monitoring.notificationChannelDescriptors.list` `monitoring.notificationChannels.get` `monitoring.notificationChannels.list` `monitoring.publicWidgets.get` `monitoring.publicWidgets.list` `monitoring.services.get` `monitoring.services.list` `monitoring.slos.get` `monitoring.slos.list` `monitoring.timeSeries.list` `monitoring.uptimeCheckConfigs.get` `monitoring.uptimeCheckConfigs.list` `opsconfigmonitoring.resourceMetadata.list` `resourcemanager.projects.get` `resourcemanager.projects.list` `stackdriver.projects.get`
`roles/monitoring.editor` Editor de Monitoring	`monitoring.alertPolicies.create` `monitoring.alertPolicies.delete` `monitoring.alertPolicies.get` `monitoring.alertPolicies.list` `monitoring.alertPolicies.update` `monitoring.analyzedMetrics.create`¹ `monitoring.analyzedMetrics.delete`¹ `monitoring.dashboards.create` `monitoring.dashboards.delete` `monitoring.dashboards.get` `monitoring.dashboards.list` `monitoring.dashboards.update` `monitoring.groups.create` `monitoring.groups.delete` `monitoring.groups.get` `monitoring.groups.list` `monitoring.groups.update` `monitoring.metricDescriptors.create` `monitoring.metricDescriptors.delete` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.monitoredResourceDescriptors.get` `monitoring.monitoredResourceDescriptors.list` `monitoring.notificationChannelDescriptors.list` `monitoring.notificationChannelDescriptors.get` `monitoring.notificationChannels.create` `monitoring.notificationChannels.delete` `monitoring.notificationChannels.get` `monitoring.notificationChannels.list` `monitoring.notificationChannels.sendVerificationCode` `monitoring.notificationChannels.update` `monitoring.notificationChannels.verify` `monitoring.publicWidgets.create` `monitoring.publicWidgets.delete` `monitoring.publicWidgets.get` `monitoring.publicWidgets.list` `monitoring.publicWidgets.update` `monitoring.services.create` `monitoring.services.delete` `monitoring.services.get` `monitoring.services.list` `monitoring.services.update` `monitoring.slos.create` `monitoring.slos.delete` `monitoring.slos.get` `monitoring.slos.list` `monitoring.slos.update` `monitoring.timeSeries.create` `monitoring.timeSeries.list` `monitoring.uptimeCheckConfigs.create` `monitoring.uptimeCheckConfigs.delete` `monitoring.uptimeCheckConfigs.get` `monitoring.uptimeCheckConfigs.list` `monitoring.uptimeCheckConfigs.update` `opsconfigmonitoring.resourceMetadata.write` `resourcemanager.projects.get` `resourcemanager.projects.list` `stackdriver.projects.edit` `stackdriver.projects.get` `stackdriver.resourceMetadata.write`
`roles/monitoring.admin` Administrador de Monitoring	Los permisos en `roles/monitoring.editor`, más lo siguiente: `monitoring.notificationChannels.getVerificationCode`

¹ Estos permisos están presentes para lograr compatibilidad con la consola de Stackdriver Monitoring. No se pueden usar en funciones personalizadas.

Las cuentas de servicio usan la siguiente función para el acceso de solo escritura:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.metricWriter` Escritor de métricas de Monitoring	`monitoring.metricDescriptors.create` `monitoring.metricDescriptors.get` `monitoring.metricDescriptors.list` `monitoring.monitoredResourceDescriptors.get` `monitoring.monitoredResourceDescriptors.list` `monitoring.timeSeries.create`

Políticas de alertas

Las funciones de política de alertas incluyen los siguientes permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.alertPolicyViewer` Visualizador de políticas de alertas de Monitoring	`monitoring.alertPolicies.get` `monitoring.alertPolicies.list`
`roles/monitoring.alertPolicyEditor` Editor de políticas de alertas de Monitoring	`monitoring.alertPolicies.create` `monitoring.alertPolicies.delete` `monitoring.alertPolicies.get` `monitoring.alertPolicies.list` `monitoring.alertPolicies.update`

Paneles

Las funciones de paneles incluyen estos permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.dashboardsViewer` Visualizador de configuración del panel de Monitoring	`monitoring.dashboards.get` `monitoring.dashboards.list`
`roles/monitoring.dashboardsEditor` Editor de configuración del panel de Monitoring	`monitoring.dashboards.get` `monitoring.dashboards.list` `monitoring.dashboards.create` `monitoring.dashboards.delete` `monitoring.dashboards.update`

Canales de notificación

Las funciones de los canales de notificación incluyen los siguientes permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.notificationChannelViewer` Visualizador de canales de notificaciones de Monitoring	`monitoring.notificationChannelDescriptors.get` `monitoring.notificationChannelDescriptors.list` `monitoring.notificationChannels.get` `monitoring.notificationChannels.list`
`roles/monitoring.notificationChannelEditor` Editor de canales de notificaciones de Monitoring	`monitoring.notificationChannelDescriptors.get` `monitoring.notificationChannelDescriptors.list` `monitoring.notificationChannels.create` `monitoring.notificationChannels.delete` `monitoring.notificationChannels.get` `monitoring.notificationChannels.list` `monitoring.notificationChannels.sendVerificationCode` `monitoring.notificationChannels.update` `monitoring.notificationChannels.verify`

Supervisión de servicios

Las funciones de supervisión de servicios incluyen estos permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.servicesViewer` Visualizador de servicios de Monitoring	`monitoring.services.get` `monitoring.services.list` `monitoring.slos.get` `monitoring.slos.list`
`roles/monitoring.servicesEditor` Editor de servicios de Monitoring	`monitoring.services.create` `monitoring.services.delete` `monitoring.services.get` `monitoring.services.list` `monitoring.services.update` `monitoring.slos.create` `monitoring.slos.delete` `monitoring.slos.get` `monitoring.slos.list` `monitoring.slos.update`

Configuración de verificaciones de tiempo de actividad

Las funciones de configuración de verificaciones de tiempo de actividad incluyen estos permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/monitoring.uptimeCheckConfigViewer` Visualizador de configuración de verificaciones de tiempo de actividad de Monitoring	`monitoring.uptimeCheckConfigs.get` `monitoring.uptimeCheckConfigs.list`
`roles/monitoring.uptimeCheckConfigEditor` Editor de configuración de verificaciones de tiempo de actividad de Monitoring	`monitoring.uptimeCheckConfigs.create` `monitoring.uptimeCheckConfigs.delete` `monitoring.uptimeCheckConfigs.get` `monitoring.uptimeCheckConfigs.list` `monitoring.uptimeCheckConfigs.update`

Google Cloud

Las funciones de Google Cloud incluyen estos permisos:

ID de la función Nombre de la función	Permisos incluidos
`roles/viewer` Visualizador del proyecto	Los permisos de Monitoring son los mismos que los de `roles/monitoring.viewer`.
`roles/editor` Editor del proyecto	Los permisos de Monitoring son los mismos que los de `roles/monitoring.editor`.
`roles/owner` Propietario del proyecto	Los permisos de Monitoring son los mismos que los de `roles/editor`.

Otorga funciones de Cloud IAM

Los propietarios del proyecto, los editores y las cuentas de servicio predeterminadas de Compute Engine y App Engine ya tienen los permisos necesarios. Sin embargo, para otras cuentas de usuario, es posible que debas otorgar estas funciones de forma explícita.

Por ejemplo, para que una cuenta de usuario lea o escriba descriptores de métricas mediante la API de Monitoring, ese usuario debe tener los permisos monitoring.metricDescriptors.* de Cloud IAM adecuados. Para ello, otorga las funciones predefinidas de Visualizador de Monitoring (roles/monitoring.viewer) y Editor de Monitoring (roles/monitoring.editor). Para obtener más información, consulta los permisos de la API.

Estos permisos se pueden otorgar con la herramienta de línea de comandos de gcloud de SDK de Cloud o con Google Cloud Console (Cloud Console).

SDK de Cloud

Usa el comando gcloud projects add-iam-policy-binding para otorgar la función monitoring.viewer o monitoring.editor.

Por ejemplo:

export PROJECT_ID="my-test-project"
export EMAIL_ADDRESS="myuser@gmail.com"
gcloud projects add-iam-policy-binding \
      $PROJECT_ID \
      --member="user:$EMAIL_ADDRESS" \
      --role="roles/monitoring.editor"

Puedes confirmar las funciones otorgadas con el comando gcloud projects get-iam-policy:

export PROJECT_ID="my-test-project"
gcloud projects get-iam-policy $PROJECT_ID

Cloud Console

Visita Cloud Console:

Ir a Cloud Console
Si es necesario, haz clic en la lista desplegable de proyectos de Google Cloud y selecciona el nombre del proyecto en el que deseas habilitar la API.
Para expandir el menú de navegación, haz clic en Menú .
Haz clic en IAM y administración.
Si el usuario no está presente, haz clic en el botón Agregar y luego en la lista desplegable junto a Seleccionar una función. De lo contrario, haz clic en el botón de activación en la columna Funciones junto al usuario existente cuyos permisos deseas editar.
En el panel Administrar funciones, mueve el puntero a la izquierda y desplázate hasta Monitoring.
En el panel Administrar funciones, mueve el puntero a la derecha y selecciona la función adecuada:
- La función Editor de Monitoring otorga acceso de lectura y escritura.
- La función Visualizador de Monitoring otorga acceso de solo lectura.

Funciones personalizadas

Para crear una función personalizada con permisos de Monitoring, realiza las siguientes acciones:

Para una función que otorgue permisos solo a la API de Monitoring, elige los permisos en la sección de Permisos de la API.
Para una función que otorgue permisos para la consola de Stackdriver Monitoring, elige uno de los grupos de permisos en la sección Permisos de la consola de Stackdriver Monitoring.
Para otorgar la capacidad de escribir datos de supervisión, incluye los permisos de la función roles/monitoring.metricWriter en la sección Funciones.

Para obtener más información sobre las funciones personalizadas, consulta Comprende las funciones personalizadas de IAM.

Permisos de acceso de Compute Engine

Los niveles de acceso son el método heredado de especificar permisos para tus instancias de VM de Compute Engine. Los siguientes niveles de acceso se aplican a Monitoring:

Nivel de acceso	Permisos otorgados
https://www.googleapis.com/auth/monitoring.read	Los mismos permisos que en `roles/monitoring.viewer`
https://www.googleapis.com/auth/monitoring.write	Los mismos permisos que en `roles/monitoring.metricWriter`
https://www.googleapis.com/auth/monitoring	Acceso completo a Monitoring
https://www.googleapis.com/auth/cloud-platform	Acceso completo a todas las API de Cloud habilitadas

Para obtener más información, consulta Permisos de acceso.

Prácticas recomendadas: Debido a que las funciones de la cuenta de servicio de Cloud IAM son fáciles de configurar y cambiar, se recomienda configurar las instancias de VM con el alcance de acceso más eficaz (cloud-platform) y, luego, usar las funciones de Cloud IAM para restringir el acceso a operaciones y API específicas. Para obtener más información, consulta Permisos de la cuenta de servicio.