Controle de acesso

O Google Cloud oferece o Gerenciamento de identidade e acesso (IAM), que permite a concessão de acesso mais granular a recursos específicos do Google Cloud e impede o acesso indesejado a outros recursos. Nesta página, descrevemos os papéis do Cloud IAM para o Cloud Trace.

Para saber como atribuir os papéis do IAM a uma conta de usuário ou serviço, leia as Políticas de gerenciamento na documentação do IAM.

Permissões e papéis

Esta seção resume as permissões e papéis compatíveis com o Cloud Trace.

Permissões da API

A tabela a seguir lista as permissões que o autor da chamada precisa ter para chamar cada método na API Cloud Trace:

Método (REST/RPC)	Permissões necessárias	Por tipo de recurso
`projects.traces.list / ListTraces`	`cloudtrace.traces.list`	projeto
`projects.traces.get / GetTrace`	`cloudtrace.traces.get`	projeto
`projects.patchTraces / PatchTraces`	`cloudtrace.traces.patch`	projeto
`projects.traces.batchWrite / BatchWriteSpans`	`cloudtrace.traces.patch`	projeto
`projects.traces.spans.createSpan / CreateSpan`	`cloudtrace.traces.patch`	projeto
`projects.traceSinks.list / ListTracesSinks`	`cloudtrace.tracesinks.list`	projeto
`projects.traceSinks.get / GetTraceSink`	`cloudtrace.tracesinks.get`	projeto
`projects.traceSinks.create / CreateTraceSink`	`cloudtrace.tracesinks.create`	projeto
`projects.traceSinks.patch / UpdateTraceSink`	`cloudtrace.tracesinks.update`	projeto
`projects.traceSinks.delete / DeleteTraceSink`	`cloudtrace.tracesinks.delete`	projeto

Permissões do console

A tabela a seguir lista as permissões necessárias para usar as páginas do Cloud Trace no Console do Cloud:

Activity	Permissões exigidas
Acesso somente leitura ao console do Trace.	`cloudtrace.insights.get` `cloudtrace.insights.list` `cloudtrace.stats.get` `cloudtrace.tasks.get` `cloudtrace.tasks.list` `cloudtrace.traces.get` `cloudtrace.traces.list` `resourcemanager.projects.get` `resourcemanager.projects.list`
Adicionar a capacidade de criar relatórios de análise no console.	Permissões somente leitura, mais: `cloudtrace.tasks.create`
Adicionar a capacidade de excluir relatórios de análise no console.	Permissões somente leitura, mais: `cloudtrace.tasks.delete`
Adicionar a capacidade de mostrar registros no console.	Permissões somente leitura, mais: `logging.logEntries.list`
Adicionar a capacidade de mostrar o serviço do App Engine e os menus do filtro de versão.	Permissões somente leitura, mais: `appengine.applications.get` `appengine.services.list` `appengine.versions.list`

As permissões cloud.tasks.* pertencem ao gerenciamento de Relatórios de análise. As permissõescloudtrace.insights.* são usadas para exibir insights do Trace. cloudtrace.stats.get permite que o console recupere os URI's e URL's do projeto mais recente, bem como as estatísticas de rastreamento específicas do projeto.

Papéis

Os papéis do IAM incluem permissões e podem ser atribuídos a usuários, grupos e contas de serviço. Os papéis a seguir incluem as permissões listadas para o Cloud Trace:

Nome do papel	Permissões do Trace	Descrição
`roles/cloudtrace.agent` Agente do Cloud Trace	`cloudtrace.traces.patch`	Para contas de serviço Capacidade de gravar traces enviando os dados ao Stackdriver Trace.
`roles/cloudtrace.user` Usuário do Cloud Trace	`cloudtrace.insights.get` `cloudtrace.insights.list` `cloudtrace.stats.get` `cloudtrace.tasks.create` `cloudtrace.tasks.delete` `cloudtrace.tasks.get` `cloudtrace.tasks.list` `cloudtrace.traces.get` `cloudtrace.traces.list` `resourcemanager.projects.get` `resourcemanager.projects.list` `cloudtrace.tracesinks.list` `cloudtrace.tracesinks.create` `cloudtrace.tracesinks.get` `cloudtrace.tracesinks.update` `cloudtrace.tracesinks.delete`	Acesso total ao console do Trace, acesso de leitura a traces e acesso de leitura e gravação a coletores.
`roles/cloudtrace.admin` Administrador do Cloud Trace	Permissões em `roles/cloudtrace.user`, mais: `cloudtrace.traces.patch`	Acesso total ao console do Trace, acesso de leitura e gravação a traces e acesso de leitura e gravação a coletores.
`roles/viewer` Visualizador do projeto	`cloudtrace.insights.get` `cloudtrace.insights.list` `cloudtrace.stats.get` `cloudtrace.tasks.get` `cloudtrace.tasks.list` `cloudtrace.traces.get` `cloudtrace.traces.list` `resourcemanager.projects.get` `resourcemanager.projects.list` `cloudtrace.tracesinks.list` `cloudtrace.tracesinks.get`	Acesso de leitura ao console, aos traces e aos coletores do Trace.
`roles/editor` Editor do projeto	Permissões de `roles/viewer`, mais: `cloudtrace.tasks.create` `cloudtrace.tasks.delete`	Acesso de leitura e gravação ao console do Trace e acesso de leitura aos traces.
`roles/owner` Proprietário do projeto	Permissões de `roles/editor`, mais: `cloudtrace.traces.patch`	Acesso de leitura e gravação ao console do Trace e aos traces.

Papéis personalizados

Para criar um papel personalizado que inclua permissões do Cloud Trace, faça o seguinte:

Para um papel que concede permissões apenas para a API Cloud Trace, escolha uma das permissões na seção anterior, Permissões da API.
Para um papel que concede permissões para a API e o Console do Cloud Trace, escolha grupos de permissões na seção anterior, Permissões do console.
Para conceder a capacidade de gravar dados de trace, inclua as permissões no papel roles/cloudtrace.agent na seção Papéis.

Para mais informações sobre funções personalizadas, consulte Como criar e gerenciar papéis personalizados.