Pour utiliser Monitoring, vous devez disposer des autorisations Identity and Access Management (IAM) appropriées. En général, chaque méthode REST d'une API a une autorisation associée. Pour utiliser la méthode ou une fonctionnalité de console qui en dépend, vous devez être autorisé à utiliser la méthode correspondante. Les autorisations ne sont pas accordées directement aux utilisateurs. Les autorisations sont accordées indirectement via des rôles, qui regroupent plusieurs autorisations pour faciliter leur gestion:
- Pour en savoir plus sur le contrôle des accès, consultez la page Concepts liés à la gestion des accès.
- Pour savoir comment attribuer des rôles aux comptes principaux, consultez la page Accorder l'accès à Cloud Monitoring.
Les rôles associés aux combinaisons courantes d'autorisations sont prédéfinis. Toutefois, vous pouvez également créer vos propres combinaisons d'autorisations en créant des rôles personnalisés IAM.
Bonne pratique
Nous vous recommandons de créer des groupes Google pour gérer l'accès aux projets Google Cloud:
- Pour en savoir plus, consultez la page Gérer les groupes dans la console Google Cloud.
- Pour en savoir plus sur la définition des limites des rôles, consultez la section Définir des limites pour l'attribution de rôles.
- Pour obtenir la liste complète des rôles et autorisations IAM, consultez la documentation de référence sur les rôles de base et prédéfinis IAM.
d'utiliser VPC Service Controls
Pour mieux contrôler l'accès aux données de surveillance, utilisez VPC Service Controls en plus d'IAM.
VPC Service Controls offre une sécurité supplémentaire pour Cloud Monitoring afin de réduire le risque d'exfiltration de données. À l'aide de VPC Service Controls, vous pouvez ajouter un champ d'application des métriques à un périmètre de service afin de protéger les ressources et les services Cloud Monitoring des requêtes provenant de l'extérieur du périmètre.
Pour en savoir plus sur les périmètres de service, consultez la documentation concernant la configuration du périmètre de service VPC Service Controls.
Pour en savoir plus sur la compatibilité de Monitoring avec VPC Service Controls, y compris les limites connues, consultez la documentation sur VPC Service Controls et Monitoring.
Accorder l'accès à Cloud Monitoring
Pour gérer les rôles IAM pour les comptes principaux, vous pouvez utiliser la page Identity and Access Management dans la console Google Cloud ou la Google Cloud CLI. Cependant, Cloud Monitoring offre une interface simplifiée qui vous permet de gérer vos rôles spécifiques à Monitoring, vos rôles au niveau du projet, ainsi que les rôles communs à Cloud Logging et Cloud Trace.
Pour accorder aux comptes principaux l'accès à Monitoring, Cloud Logging ou Cloud Trace, ou pour accorder un rôle au niveau du projet, procédez comme suit:
Console
-
Dans le panneau de navigation de la console Google Cloud, sélectionnez Monitoring, puis
Autorisations:La page Autorisations n'affiche pas tous les comptes principaux. Il ne répertorie que les comptes principaux disposant d'un rôle au niveau du projet ou d'un rôle spécifique à Monitoring, Logging ou Trace.
Les options de cette page vous permettent d'afficher tous les comptes principaux dont les rôles incluent n'importe quelle autorisation Monitoring.
Cliquez sur
Accorder l'accès.Cliquez sur Nouveaux comptes principaux, puis saisissez leur nom d'utilisateur. Vous pouvez ajouter plusieurs comptes principaux.
Développez arrow_drop_down Sélectionner un rôle, sélectionnez une valeur dans le menu Par produit ou service, puis sélectionnez un rôle dans le menu Rôles:
Par produit ou service sélectionné Sélection des rôles Description Surveillance Lecteur Monitoring Afficher les données Monitoring et les informations de configuration Par exemple, les comptes principaux dotés de ce rôle peuvent afficher des tableaux de bord personnalisés et des règles d'alerte. Surveillance Éditeur Monitoring Consultez les données Monitoring, et créez et modifiez des configurations. Par exemple, les comptes principaux dotés de ce rôle peuvent créer des tableaux de bord personnalisés et des règles d'alerte. Surveillance Administrateur Monitoring Afficher les données Monitoring, créer et modifier des configurations, et modifier le champ d'application des métriques. Cloud Trace Utilisateur Cloud Trace Accès complet à la console Trace, accès en lecture aux traces et accès en lecture/écriture aux récepteurs. Pour en savoir plus, consultez la section Rôles de trace. Cloud Trace Administrateur Cloud Trace Accès complet à la console Trace, accès en lecture/écriture aux traces et accès en lecture/écriture aux récepteurs. Pour en savoir plus, consultez la section Rôles de trace. Journalisation Visionneuse de journaux Accès en lecture aux journaux. Pour en savoir plus, consultez la section Rôles Logging. Journalisation Administrateur Logging Accès complet à toutes les fonctionnalités de Cloud Logging. Pour en savoir plus, consultez la section Rôles Logging. Projet Lecteur Accès en lecture à la plupart des ressources Google Cloud. Projet Éditeur Consultez, créez, modifiez et supprimez la plupart des ressources Google Cloud. Projet Propriétaire Accès complet à la plupart des ressources Google Cloud. Facultatif: Pour attribuer un autre rôle aux mêmes comptes principaux, cliquez sur Ajouter un autre rôle et répétez l'étape précédente.
Cliquez sur Enregistrer.
Les étapes précédentes décrivent comment attribuer certains rôles à un compte principal à l'aide des pages Monitoring de la console Google Cloud. Pour ces rôles, cette page accepte également les options de modification et de suppression:
Pour supprimer les rôles d'un compte principal, cochez la case à côté du compte principal, puis cliquez sur
Supprimer l'accès.Pour modifier les rôles d'un compte principal, cliquez sur Modifier edit. Une fois les paramètres modifiés, cliquez sur Enregistrer.
gcloud
Utilisez la commande gcloud projects add-iam-policy-binding
pour attribuer le rôle monitoring.viewer
ou monitoring.editor
.
Exemple :
export PROJECT_ID="my-test-project"
export EMAIL_ADDRESS="myuser@gmail.com"
gcloud projects add-iam-policy-binding \
$PROJECT_ID \
--member="user:$EMAIL_ADDRESS" \
--role="roles/monitoring.editor"
Vous pouvez confirmer les rôles attribués à l'aide de la commande gcloud projects get-iam-policy
:
export PROJECT_ID="my-test-project"
gcloud projects get-iam-policy $PROJECT_ID
Rôles prédéfinis
Cette section répertorie un sous-ensemble de rôles IAM prédéfinis par Cloud Monitoring.
Rôles Monitoring
Les rôles suivants accordent des autorisations générales pour Monitoring :
Titre Nom |
Autorisations associées |
---|---|
roles/monitoring.viewer Lecteur Monitoring |
Accorde un accès en lecture seule à Monitoring dans la console Google Cloud et à l'API Cloud Monitoring. |
roles/monitoring.editor Éditeur Monitoring |
Accorde un accès en lecture/écriture à Monitoring dans la console Google Cloud et à l'API Cloud Monitoring. |
roles/monitoring.admin Administrateur Monitoring |
Accorde un accès complet à Monitoring dans la console Google Cloud et un accès en lecture/écriture à l'API Cloud Monitoring. |
Le rôle suivant est utilisé par les comptes de service pour l'accès en écriture seule :
Titre Nom |
Description |
---|---|
roles/monitoring.metricWriter Rédacteur de métriques Monitoring |
Ce rôle est destiné aux agents et aux comptes de service. |
Rôles des règles d'alerte
Les rôles suivants accordent des autorisations pour les règles d'alerte:
Titre Nom |
Description |
---|---|
roles/monitoring.alertPolicyViewer Lecteur Monitoring AlertPolicy |
Accorde un accès en lecture seule aux règles d'alerte. |
roles/monitoring.alertPolicyEditor Éditeur Monitoring AlertPolicy |
Accorde un accès en lecture/écriture aux règles d'alerte. |
Rôles dans le tableau de bord
Les rôles suivants n'accordent d'autorisations que pour les tableaux de bord :
Titre Nom |
Description |
---|---|
roles/monitoring.dashboardViewer Lecteur de configuration du tableau de bord Monitoring |
Accorde un accès en lecture seule aux configurations de tableau de bord. |
roles/monitoring.dashboardEditor Éditeur de configuration du tableau de bord Monitoring |
Accorde un accès en lecture/écriture aux configurations de tableau de bord. |
Rôles associés aux incidents
Les rôles suivants n'accordent des autorisations que pour les incidents:
Titre Nom |
Description |
---|---|
roles/monitoring.cloudConsoleIncidentViewer Lecteur d'incidents Monitoring (via la console Cloud) |
Permet d'afficher les incidents à l'aide de la console Google Cloud. |
roles/monitoring.cloudConsoleIncidentEditor Éditeur d'incidents Monitoring (via la console Cloud) |
Permet d'afficher, de confirmer et de fermer les incidents à l'aide de la console Google Cloud. |
Pour savoir comment résoudre les erreurs d'autorisation IAM lors de l'affichage des incidents, consultez la section Impossible d'afficher les détails des incidents en raison d'une erreur d'autorisation.
Rôles des canaux de notification
Les rôles suivants n'accordent que des autorisations NotificationChannel (canaux de notification) :
Titre Nom |
Description |
---|---|
roles/monitoring.notificationChannelViewer Lecteur Monitoring NotificationChannel |
Accorde un accès en lecture seule aux canaux de notification. |
roles/monitoring.notificationChannelEditor Éditeur Monitoring NotificationChannel |
Accorde un accès en lecture/écriture aux canaux de notification. |
Mettre en attente les rôles de notification
Les rôles suivants accordent des autorisations permettant de suspendre les notifications:
Titre Nom |
Description |
---|---|
roles/monitoring.snoozeViewer Lecteur de mises en attente Monitoring |
Accorde un accès en lecture seule aux mises en attente. |
roles/monitoring.snoozeEditor Éditeur de mise en attente Monitoring |
Accorde un accès en lecture/écriture aux mises en pause. |
Rôles Service Monitoring
Les rôles suivants accordent des autorisations pour la gestion des services :
Titre Nom |
Description |
---|---|
roles/monitoring.servicesViewer Lecteur pour les services de surveillance |
Accorde un accès en lecture seule aux services. |
roles/monitoring.servicesEditor Collaborateur pour les services de surveillance |
Accorde un accès en lecture/écriture aux services. |
Pour en savoir plus sur la surveillance des services, consultez la page Surveillance SLO.
Rôles de configuration des tests de disponibilité
Les rôles suivants n'accordent d'autorisations que pour les configurations des tests de disponibilité :
Titre Nom |
Description |
---|---|
roles/monitoring.uptimeCheckConfigViewer Lecteur de configuration des tests de disponibilité Monitoring |
Accorde un accès en lecture seule aux configurations de tests de disponibilité. |
roles/monitoring.uptimeCheckConfigEditor Éditeur de configuration des tests de disponibilité Monitoring |
Accorde un accès en lecture/écriture aux configurations des tests de disponibilité. |
Rôles de configuration du champ d'application des métriques
Les rôles suivants accordent des autorisations générales pour les champs d'application de métriques:
Titre Nom |
Description |
---|---|
roles/monitoring.metricsScopesViewer Lecteur des champs d'application des métriques de surveillance |
Accorde un accès en lecture seule aux champs d'application des métriques. |
roles/monitoring.metricsScopesAdmin Administrateur des champs d'application des métriques de surveillance |
Accorde un accès en lecture/écriture aux champs d'application des métriques. |
Autorisations pour les rôles prédéfinis
Cette section répertorie les autorisations attribuées aux rôles prédéfinis associés à Monitoring.
Pour en savoir plus sur les rôles prédéfinis, consultez la page IAM: rôles et autorisations. Pour obtenir de l'aide sur le choix des rôles prédéfinis les plus appropriés, consultez la section Choisir des rôles prédéfinis.
Autorisations pour les rôles Monitoring
Role | Permissions |
---|---|
Monitoring Admin(
Provides the same access as the Monitoring Editor role ( Lowest-level resources where you can grant this role:
|
cloudnotifications. monitoring.*
opsconfigmonitoring.*
resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.*
|
Monitoring AlertPolicy Editor( Read/write access to alerting policies. |
monitoring.alertPolicies.*
|
Monitoring AlertPolicy Viewer( Read-only access to alerting policies. |
monitoring.alertPolicies.get monitoring.alertPolicies.list |
Monitoring Cloud Console Incident Editor Beta( Read/write access to incidents from Cloud Console. |
|
Monitoring Cloud Console Incident Viewer Beta( Read access to incidents from Cloud Console. |
|
Monitoring Dashboard Configuration Editor( Read/write access to dashboard configurations. |
monitoring.dashboards.*
|
Monitoring Dashboard Configuration Viewer( Read-only access to dashboard configurations. |
monitoring.dashboards.get monitoring.dashboards.list |
Monitoring Editor( Provides full access to information about all monitoring data and configurations. Lowest-level resources where you can grant this role:
|
cloudnotifications. monitoring.alertPolicies.*
monitoring.dashboards.*
monitoring.groups.*
monitoring.metricDescriptors.*
monitoring.
monitoring.
monitoring. monitoring. monitoring. monitoring. monitoring. monitoring. monitoring. monitoring.publicWidgets.*
monitoring.services.*
monitoring.slos.*
monitoring.snoozes.*
monitoring.timeSeries.*
monitoring.
opsconfigmonitoring.*
resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.*
|
Monitoring Metric Writer( Provides write-only access to metrics. This provides exactly the permissions needed by the Cloud Monitoring agent and other systems that send metrics. Lowest-level resources where you can grant this role:
|
monitoring. monitoring. monitoring.
monitoring.
monitoring.timeSeries.create |
Monitoring Metrics Scopes Admin Beta( Access to add and remove monitored projects from metrics scopes. |
monitoring.metricsScopes.link resourcemanager.projects.get resourcemanager.projects.list |
Monitoring Metrics Scopes Viewer Beta( Read-only access to metrics scopes and their monitored projects. |
resourcemanager.projects.get resourcemanager.projects.list |
Monitoring NotificationChannel Editor Beta( Read/write access to notification channels. |
monitoring.
monitoring. monitoring. monitoring. monitoring. monitoring. monitoring. monitoring. |
Monitoring NotificationChannel Viewer Beta( Read-only access to notification channels. |
monitoring.
monitoring. monitoring. |
Monitoring Services Editor( Read/write access to services. |
monitoring.services.*
monitoring.slos.*
|
Monitoring Services Viewer( Read-only access to services. |
monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list |
Monitoring Snooze Editor(
|
monitoring.snoozes.*
|
Monitoring Snooze Viewer(
|
monitoring.snoozes.get monitoring.snoozes.list |
Monitoring Uptime Check Configuration Editor Beta( Read/write access to uptime check configurations. |
monitoring.
|
Monitoring Uptime Check Configuration Viewer Beta( Read-only access to uptime check configurations. |
monitoring. monitoring. |
Monitoring Viewer( Provides read-only access to get and list information about all monitoring data and configurations. Lowest-level resources where you can grant this role:
|
cloudnotifications. monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring. monitoring.
monitoring.
monitoring.
monitoring. monitoring. monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring. monitoring. opsconfigmonitoring. resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver. |
Autorisations pour les rôles Ops Config Monitoring
Role | Permissions |
---|---|
Ops Config Monitoring Resource Metadata Viewer Beta( Read-only access to resource metadata. |
opsconfigmonitoring. |
Ops Config Monitoring Resource Metadata Writer Beta( Write-only access to resource metadata. This provides exactly the permissions needed by the Ops Config Monitoring metadata agent and other systems that send metadata. |
opsconfigmonitoring. |
Autorisations pour les rôles Stackdriver
Role | Permissions |
---|---|
Stackdriver Accounts Editor( Read/write access to manage Stackdriver account structure. |
resourcemanager.projects.get resourcemanager.projects.list serviceusage.services.enable serviceusage.services.get stackdriver.projects.*
|
Stackdriver Accounts Viewer( Read-only access to get and list information about Stackdriver account structure. |
resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get |
Stackdriver Resource Metadata Writer Beta( Write-only access to resource metadata. This provides exactly the permissions needed by the Stackdriver metadata agent and other systems that send metadata. |
stackdriver. |
Autorisations Monitoring incluses dans les rôles Google Cloud
Les rôles Google Cloud incluent les autorisations suivantes :
Titre Nom |
Autorisations associées |
---|---|
roles/viewer Lecteur |
Autorisations Monitoring identiques aux autorisations de roles/monitoring.viewer
|
roles/editor Éditeur |
Autorisations Monitoring identiques à celles de Ce rôle n'accorde pas l'autorisation de modifier le champ d'application d'une métrique.
Pour modifier un champ d'application des métriques lorsque vous utilisez l'API, votre rôle doit inclure l'autorisation |
roles/owner Propriétaire |
Autorisations Monitoring identiques aux autorisations de roles/monitoring.admin
|
Rôles personnalisés
Vous pouvez créer un rôle personnalisé lorsque vous souhaitez accorder à un compte principal un ensemble d'autorisations plus limité que celles accordées avec des rôles prédéfinis.
Par exemple, si vous configurez Assured Workloads, car vous avez des exigences de résidence des données ou de niveau d'impact 4 (IL4), vous ne devez pas utiliser de tests de disponibilité, car il n'y a aucune garantie que les données de ces tests soient conservées dans un emplacement géographique spécifique.
Pour empêcher l'utilisation de tests de disponibilité, créez un rôle n'incluant aucune autorisation portant le préfixe monitoring.uptimeCheckConfigs
.
Pour créer un rôle personnalisé avec des autorisations Monitoring, procédez comme suit :
Pour un rôle n'accordant des autorisations que pour l'API Monitoring, choisissez l'une des autorisations dans la section Autorisations et rôles prédéfinis.
Pour un rôle accordant des autorisations pour Monitoring dans la console Google Cloud, choisissez l'un des groupes d'autorisations dans la section Rôles Monitoring.
Pour accorder la possibilité d'écrire des données de surveillance, incluez les autorisations du rôle
roles/monitoring.metricWriter
dans la section Autorisations et rôles prédéfinis.
Pour plus d'informations sur les rôles personnalisés, consultez la page Comprendre les rôles personnalisés d'IAM.
Champs d'application d'accès à Compute Engine
Les champs d'application d'accès représentent l'ancienne méthode de spécification des autorisations associées aux instances de VM Compute Engine. Les champs d'application d'accès suivants s'appliquent à Monitoring :
Champ d'application d'accès | Autorisations attribuées |
---|---|
https://www.googleapis.com/auth/monitoring.read | Les mêmes autorisations que le rôle roles/monitoring.viewer . |
https://www.googleapis.com/auth/monitoring.write | Les mêmes autorisations que le rôle roles/monitoring.metricWriter . |
https://www.googleapis.com/auth/monitoring | Accès complet à Monitoring |
https://www.googleapis.com/auth/cloud-platform | Accès complet à toutes les API Google Cloud activées |
Pour plus de détails, consultez la section sur les champs d'application d'accès.
Bonnes pratiques. Il est recommandé d'attribuer à vos instances de VM le niveau d'accès le plus élevé (cloud-platform
), puis d'utiliser des rôles IAM pour restreindre l'accès à des API et des opérations spécifiques. Pour plus de détails, consultez la section relative aux autorisations de compte de service.