使用 IAM 控管存取權

Cloud Logging 使用 Identity and Access Management (IAM) 角色和權限，讓您控管哪些人可以查看、寫入及管理 Logging 資源。您的 IAM 角色會決定您是否可以建立記錄檔接收器或記錄檔 bucket、讀取儲存在記錄檔 bucket 中的記錄檔資料，或存取「Logs Explorer」(記錄檔探索工具) 等頁面。發出 Cloud Logging API 或 Google Cloud CLI 指令時，您的 IAM 角色也會決定您是否有權執行指令。

總覽

您的 IAM 角色會決定您可以在 Logging 中執行的動作。「角色」是一組權限。將角色授予主體時，會一併授予該角色具備的所有權限。您可以將多個角色授予同一個主體。

IAM 角色會授予資源，例如 Google Cloud 專案、資料夾、bucket 或組織。舉例來說，您可以將特定 Google Cloud 專案的記錄檢視者角色 (roles/logging.viewer) 授予主體。

本頁面的「預先定義的角色」和「Logging 角色」部分，提供 Logging 角色和權限的完整資訊。本頁面的其他部分則提供特定用途的角色或權限資訊。

本節其餘部分將摘要說明如何授予主體記錄檔 bucket 的存取權，或僅授予記錄檔 bucket 中部分記錄項目的存取權。

注意： 記錄範圍不適用於存取控管。記錄範圍可用來定義要搜尋哪些資源的記錄資料。您在這些資源中的 IAM 角色，會決定您是否具備查看記錄資料所需的權限。

授予記錄檔 bucket 的存取權

「記錄檢視者」角色 (roles/logging.viewer) 可讓主體存取儲存在 _Required 和 _Default 記錄檔 bucket 中的所有記錄資料，但資料存取記錄除外。如果主體需要存取資料存取記錄，請授予私人記錄檢視者角色 (roles/logging.privateLogViewer)。

如果是自訂記錄檔 bucket，您可以授予 _AllLogs 檢視畫面或自訂記錄檔檢視畫面的存取權。Logging 會自動建立 _AllLogs 檢視畫面，其中包含記錄檔 bucket 中的所有記錄項目。如要授予記錄檢視表的存取權，請在附加至記錄檢視表或專案的 IAM 政策中，新增 IAM 繫結。詳情請參閱「控管記錄檔檢視畫面的存取權」。

Logging 也支援記錄檔 bucket 標記，可協助您瞭解費用。您也可以使用標記，防止使用者刪除記錄檔 bucket。詳情請參閱「使用標記管理記錄檔 bucket 的存取權」。

授予記錄檔值區中部分記錄項目的存取權

如要授予主體存取權，僅允許存取儲存在記錄檔 bucket 中的部分記錄項目，請建立記錄檔檢視，然後授予主體存取記錄檔檢視的權限。舉例來說，您可以在 _Default 記錄檔 bucket 上建立記錄檔檢視，其中僅包含資源類型為 Compute Engine 執行個體的記錄項目。如要進一步瞭解如何建立記錄檢視，以及授予檢視存取權的不同策略，請參閱「設定記錄檔值區的記錄檢視」。

預先定義的角色

IAM 提供預先定義的角色，可授予特定 Google Cloud 資源的精細存取權，並防止他人擅自存取其他資源。 Google Cloud 會建立及維護這些角色，並視需要自動更新其權限，例如在 Logging 新增功能時。

下表列出 Logging 的預先定義角色。表格會顯示每個角色的職稱、說明、包含的權限，以及可授予角色的最低層級資源類型。您可以在 Google Cloud 專案層級授予預先定義的角色，或在大多數情況下，在資源階層中授予任何較高層級的角色。如要將記錄檢視存取者角色限制為 bucket 上的記錄檢視，請使用 IAM 條件的資源屬性。

如要取得角色包含的所有個別權限清單，請參閱「取得角色中繼資料」。

Role	Permissions
Logging Admin (roles/logging.admin) Provides all permissions necessary to use all features of Cloud Logging. Lowest-level resources where you can grant this role: View	logging.buckets.copyLogEntries logging.buckets.create logging.buckets.createTagBinding logging.buckets.delete logging.buckets.deleteTagBinding logging.buckets.get logging.buckets.list logging.buckets.listEffectiveTags logging.buckets.listTagBindings logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.fields.access logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.* logging.logEntries.create logging.logEntries.download logging.logEntries.list logging.logEntries.route logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logScopes.* logging.logScopes.create logging.logScopes.delete logging.logScopes.get logging.logScopes.list logging.logScopes.update logging.logServiceIndexes.list logging.logServices.list logging.logs.* logging.logs.delete logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.privateLogEntries.list logging.queries.* logging.queries.deleteShared logging.queries.getShared logging.queries.listShared logging.queries.share logging.queries.updateShared logging.queries.usePrivate logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.sqlAlerts.* logging.sqlAlerts.create logging.sqlAlerts.update logging.usage.get logging.views.* logging.views.access logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues logging.views.setIamPolicy logging.views.update observability.scopes.get resourcemanager.projects.get resourcemanager.projects.list
Logs Bucket Writer (roles/logging.bucketWriter) Ability to write logs to a log bucket. Lowest-level resources where you can grant this role: Project	logging.buckets.write
Logs Writer (roles/logging.logWriter) Provides the permissions to write log entries. Lowest-level resources where you can grant this role: Project	logging.logEntries.create logging.logEntries.route
Private Logs Viewer (roles/logging.privateLogViewer) Provides permissions of the Logs Viewer role and in addition, provides read-only access to log entries in private logs. Lowest-level resources where you can grant this role: View	logging.buckets.get logging.buckets.list logging.buckets.listEffectiveTags logging.buckets.listTagBindings logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.notificationRules.get logging.notificationRules.list logging.operations.get logging.operations.list logging.privateLogEntries.list logging.queries.getShared logging.queries.listShared logging.queries.usePrivate logging.settings.get logging.sinks.get logging.sinks.list logging.usage.get logging.views.access logging.views.get logging.views.getIamPolicy logging.views.list observability.scopes.get resourcemanager.projects.get
Logs Viewer (roles/logging.viewer) Provides access to view logs. Lowest-level resources where you can grant this role: View	logging.buckets.get logging.buckets.list logging.buckets.listEffectiveTags logging.buckets.listTagBindings logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.list logging.logMetrics.get logging.logMetrics.list logging.logScopes.get logging.logScopes.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.notificationRules.get logging.notificationRules.list logging.operations.get logging.operations.list logging.queries.getShared logging.queries.listShared logging.queries.usePrivate logging.settings.get logging.sinks.get logging.sinks.list logging.usage.get logging.views.get logging.views.getIamPolicy logging.views.list observability.scopes.get resourcemanager.projects.get
Logs Configuration Writer (roles/logging.configWriter) Provides permissions to read and write the configurations of logs-based metrics and sinks for exporting logs. Lowest-level resources where you can grant this role: View	logging.buckets.create logging.buckets.createTagBinding logging.buckets.delete logging.buckets.deleteTagBinding logging.buckets.get logging.buckets.list logging.buckets.listEffectiveTags logging.buckets.listTagBindings logging.buckets.undelete logging.buckets.update logging.exclusions.* logging.exclusions.create logging.exclusions.delete logging.exclusions.get logging.exclusions.list logging.exclusions.update logging.links.* logging.links.create logging.links.delete logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logMetrics.* logging.logMetrics.create logging.logMetrics.delete logging.logMetrics.get logging.logMetrics.list logging.logMetrics.update logging.logScopes.* logging.logScopes.create logging.logScopes.delete logging.logScopes.get logging.logScopes.list logging.logScopes.update logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update logging.operations.* logging.operations.cancel logging.operations.get logging.operations.list logging.settings.* logging.settings.get logging.settings.update logging.sinks.* logging.sinks.create logging.sinks.delete logging.sinks.get logging.sinks.list logging.sinks.update logging.sqlAlerts.* logging.sqlAlerts.create logging.sqlAlerts.update logging.views.create logging.views.delete logging.views.get logging.views.getIamPolicy logging.views.list logging.views.update observability.scopes.get resourcemanager.projects.get resourcemanager.projects.list
Log Field Accessor (roles/logging.fieldAccessor) Ability to read restricted fields in a log bucket. Lowest-level resources where you can grant this role: Project	logging.fields.access
Log Link Accessor (roles/logging.linkViewer) Ability to see links for a bucket.	logging.links.get logging.links.list
SQL Alert Writer ^Beta (roles/logging.sqlAlertWriter) Ability to write SQL Alerts.	logging.sqlAlerts.* logging.sqlAlerts.create logging.sqlAlerts.update
Logs View Accessor (roles/logging.viewAccessor) Ability to read logs in a view. Lowest-level resources where you can grant this role: View	logging.logEntries.download logging.views.access logging.views.listLogs logging.views.listResourceKeys logging.views.listResourceValues

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Cloud Logging Service Agent (roles/logging.serviceAgent) Grants a Cloud Logging Service Account the ability to create and link datasets. Warning: Do not grant service agent roles to any principals except service agents.	bigquery.datasets.create bigquery.datasets.get bigquery.datasets.link

以下各節提供額外資訊，協助您決定哪些角色適用於主體的使用案例。

Logging 角色

• 如要允許使用者在 Logging 中執行所有動作，請授予 Logging 管理員 (roles/logging.admin) 角色。

• 如要允許使用者建立及修改記錄設定，請授予記錄設定寫入者 (roles/logging.configWriter) 角色。這個角色可建立或修改下列任一項目：

  • 記錄檔接收器
  • 記錄檔 bucket
  • 記錄檔檢視畫面
  • 連結的資料集
  • 記錄範圍

• 如要讓使用者讀取 _Required 和 _Default bucket 中的記錄，或使用「Logs Explorer」頁面，請授予下列其中一個角色：

  • 如要存取 _Required bucket 中的所有記錄，以及 _Default bucket 上的 _Default 檢視畫面，請授予記錄檢視者 (roles/logging.viewer) 角色。
  • 如要存取 _Required 和 _Default bucket 中的所有記錄 (包括資料存取記錄)，請授予私人記錄檢視者 (roles/logging.privateLogViewer) 角色。

• 如要讓使用者讀取專案中所有記錄檢視畫面的記錄，請在專案中授予 roles/logging.viewAccessor 的 IAM 角色。

• 如要讓使用者只能讀取特定記錄檢視中的記錄，有兩種做法：

  • 為記錄檢視建立 IAM 政策，然後在該政策中新增 IAM 繫結，授予主體記錄檢視的存取權。

  • 在包含記錄檢視的專案中，將 roles/logging.viewAccessor 的 IAM 角色授予主體，但附加 IAM 條件，將授予權限限制在特定記錄檢視。

  如要瞭解如何建立記錄檢視及授予存取權，請參閱「設定記錄檔 bucket 的記錄檢視」。

• 如要允許使用者透過 Logging API 寫入記錄，請授予記錄寫入者 (roles/logging.logWriter) 角色。這個角色不具備檢視權限。

• 如要允許接收器的服務帳戶將記錄檔轉送至其他 Google Cloud 專案中的 bucket，請將記錄檔 bucket 寫入者 (roles/logging.bucketWriter) 角色授予服務帳戶。如需將權限授予服務帳戶的操作說明，請參閱「設定目的地權限」。

專案層級角色

注意： 下列基本角色包含所有 Google Cloud 服務的數千項權限。請謹慎使用這些角色，或考慮使用對應的 Logging 預先定義角色。

• 如要授予大多數 Google Cloud 服務的檢視權限，請授予檢視者 (roles/viewer) 角色。

  這個角色包含記錄檢視者 (roles/logging.viewer) 角色授予的所有權限。

• 如要授予大多數 Google Cloud 服務的編輯者權限，請授予編輯者 (roles/editor) 角色。

  這個角色包含記錄檢視者 (roles/logging.viewer) 角色授予的所有權限，以及寫入記錄項目和刪除記錄的權限。不過，這個角色不允許使用者建立接收器、讀取 _Default bucket 中的資料存取稽核記錄，或讀取使用者定義記錄檔 bucket 中的記錄檔。

• 如要授予大多數 Google Cloud 服務的完整存取權，請授予「擁有者」(roles/owner) 角色。

正在授予角色

如要瞭解如何將角色授予主體，請參閱「授予、變更及撤銷存取權」。

您可以將多個角色授予同一位使用者。如要取得角色包含的權限清單，請參閱「取得角色中繼資料」。

如果您嘗試存取 Google Cloud 資源，但缺少必要權限，請與資源的「擁有者」主體聯絡。

自訂角色

如要建立具有 Logging 權限的自訂角色，請執行下列動作：

• 如要授予 Logging API 權限，請從「API permissions」(API 權限) 中選擇權限，然後按照操作說明建立自訂角色。

• 如要授予使用 Logs Explorer 的權限，請從「控制台權限」中的權限群組中選擇，然後按照操作說明建立自訂角色。

• 如要瞭解授予 gcloud logging 使用權限的角色，請參閱本頁的「指令列權限」一節，然後按照操作說明建立自訂角色。

如要進一步瞭解自訂角色，請參閱「瞭解 IAM 自訂角色」。

Cloud Logging 權限

下表列出 Cloud Logging 特定功能所需的部分權限。您可以透過這個表格，找出使用記錄檔探索工具等頁面所需的權限。

在表格中，a.b.{x,y} 代表a.b.x和a.b.y。

控制台活動	所需權限
最低的唯讀存取權	logging.logEntries.list logging.logs.list logging.logServiceIndexes.list logging.logServices.list resourcemanager.projects.get
查看資料存取稽核記錄	logging.privateLogEntries.list
查看接收器	logging.sinks.{list, get}
查看記錄用量	logging.usage.get
下載記錄檔	logging.logEntries.{list, download} 只要具備其中一項權限，即可下載記錄。您必須在專案層級授予具備記錄下載權限的角色。如果記錄檢視的 IAM 政策檔案授予包含這些權限的角色，您就無法下載記錄。
列出及查看記錄範圍	logging.logScopes.{get, list}
查看預設記錄範圍	observability.scopes.get
排除記錄檔	logging.exclusions.{list, create, get, update, delete} 建立自訂角色時，如要加入管理排除篩選器的權限，請將 logging.sinks.* 權限新增至角色，而非 logging.exclusions.* 權限。
建立及使用接收器	logging.sinks.{list, create, get, update, delete} 建立接收器時，您也必須授予服務帳戶 IAM 角色，讓服務帳戶將記錄項目寫入目的地。詳情請參閱「 設定目的地權限」。 記錄項目轉送至支援的目的地後，記錄項目的存取權完全由目的地的 IAM 權限和角色控管。
儲存及使用私人查詢	logging.queries.usePrivate logging.queries.{listShared,getShared}
儲存及使用共用查詢	logging.queries.{share, getShared, updateShared, deleteShared, listShared}
建立及管理記錄範圍	logging.logScopes.{create, delete, get, list, update}
設定及管理預設記錄範圍	observability.scopes.{get, update}

指令列權限

gcloud logging 指令由 IAM 權限控管。

如要使用任何 gcloud logging 指令，主體必須具備 serviceusage.services.use 權限。

主體也必須具備與記錄資源和用途相對應的 IAM 角色。詳情請參閱「指令列介面權限」。