使用 IAM 控制访问权限

Google Cloud 提供 Identity and Access Management (IAM)，可让您授予对特定 Google Cloud 资源的细化访问权限，并防止对其他资源进行不必要的访问。本页面介绍了 Cloud Trace 的 IAM 角色。

权限和预定义的 Cloud Trace 角色

IAM 角色包括权限，可以分配给用户、组和服务账号。下表列出了预定义角色 以及下列角色对应的权限：

Role Permissions

(roles/cloudtrace.admin)

Provides full access to the Trace console and read-write access to traces.

Lowest-level resources where you can grant this role:

  • Project

cloudtrace.*

  • cloudtrace.insights.get
  • cloudtrace.insights.list
  • cloudtrace.stats.get
  • cloudtrace.tasks.create
  • cloudtrace.tasks.delete
  • cloudtrace.tasks.get
  • cloudtrace.tasks.list
  • cloudtrace.traceScopes.create
  • cloudtrace.traceScopes.delete
  • cloudtrace.traceScopes.get
  • cloudtrace.traceScopes.list
  • cloudtrace.traceScopes.update
  • cloudtrace.traces.get
  • cloudtrace.traces.list
  • cloudtrace.traces.patch

observability.scopes.get

resourcemanager.projects.get

resourcemanager.projects.list

(roles/cloudtrace.agent)

For service accounts. Provides ability to write traces by sending the data to Stackdriver Trace.

Lowest-level resources where you can grant this role:

  • Project

cloudtrace.traces.patch

(roles/cloudtrace.user)

Provides full access to the Trace console and read access to traces.

Lowest-level resources where you can grant this role:

  • Project

cloudtrace.insights.*

  • cloudtrace.insights.get
  • cloudtrace.insights.list

cloudtrace.stats.get

cloudtrace.tasks.*

  • cloudtrace.tasks.create
  • cloudtrace.tasks.delete
  • cloudtrace.tasks.get
  • cloudtrace.tasks.list

cloudtrace.traceScopes.*

  • cloudtrace.traceScopes.create
  • cloudtrace.traceScopes.delete
  • cloudtrace.traceScopes.get
  • cloudtrace.traceScopes.list
  • cloudtrace.traceScopes.update

cloudtrace.traces.get

cloudtrace.traces.list

observability.scopes.get

resourcemanager.projects.get

resourcemanager.projects.list

创建自定义角色

如需创建包含 Cloud Trace 权限的自定义角色，请执行以下操作：

  • 对于仅授予 Cloud Trace API 权限的角色，请选择 获取 API 方法所需的权限。
  • 对于授予 Cloud Trace API 和控制台权限的角色， 从预定义的 Cloud Trace 角色之一中选择权限组。
  • 如需授予向跟踪记录写入数据的权限，请在 Cloud Trace Agent (roles/cloudtrace.agent) 角色中添加权限。

如需详细了解自定义角色，请前往 创建和管理自定义角色。

API 方法的权限

如需了解执行 API 调用所需的权限，请参阅 Cloud Trace API 参考文档：