שליטה בגישה באמצעות IAM

אתם יכולים להשתמש בתפקידים בניהול הזהויות והרשאות הגישה (IAM) כדי להעניק הרשאות מפורטות לצפייה במשאבים של Cloud Trace, לכתיבה בהם או לניהול שלהם, ולמנוע גישה לא מורשית לנתוני מעקב.

• במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים מוסבר איך מקצים תפקידי IAM למשתמש או לחשבון שירות.
• במאמר IAM: תפקידים והרשאות מוסבר איך משתמשים בתפקידים מוגדרים מראש.
• לא בטוחים איזה תפקיד מוגדר מראש לתת? תוכלו להיעזר במאמר בחירת תפקידים מוגדרים מראש.

שיטה מומלצת

כדי להקל על פתרון בעיות, צריך להעניק את התפקיד Cloud Trace User ‏ (roles/cloudtrace.user) לכל האנשים, הקבוצות והדומיינים שצריכים לצפות בנתוני מעקב בפרויקט. התפקיד הזה נותן לחשבונות הראשיים את ההרשאות שנדרשות להצגת נתוני מעקב.

הרשאות ותפקידים מוגדרים מראש

תפקידי IAM כוללים הרשאות ואפשר להקצות אותם למשתמשים, לקבוצות ולחשבונות שירות.

תפקידים ב-Cloud Trace

בטבלה הבאה מפורטים התפקידים המוגדרים מראש ב-Cloud Trace וההרשאות שמשויכות לתפקידים האלה:

Role	Permissions
Cloud Trace Admin (roles/cloudtrace.admin) Provides full access to the Trace console and read-write access to traces. Lowest-level resources where you can grant this role: Project	cloudtrace.* cloudtrace.insights.get cloudtrace.insights.list cloudtrace.stats.get cloudtrace.tasks.create cloudtrace.tasks.delete cloudtrace.tasks.get cloudtrace.tasks.list cloudtrace.traceScopes.create cloudtrace.traceScopes.delete cloudtrace.traceScopes.get cloudtrace.traceScopes.list cloudtrace.traceScopes.update cloudtrace.traces.get cloudtrace.traces.list cloudtrace.traces.patch observability.scopes.get observability.traceScopes.* observability.traceScopes.create observability.traceScopes.delete observability.traceScopes.get observability.traceScopes.list observability.traceScopes.update resourcemanager.projects.get resourcemanager.projects.list telemetry.traces.write
Cloud Trace User (roles/cloudtrace.user) Provides full access to the Trace console and read access to traces. Lowest-level resources where you can grant this role: Project	cloudtrace.insights.* cloudtrace.insights.get cloudtrace.insights.list cloudtrace.stats.get cloudtrace.tasks.* cloudtrace.tasks.create cloudtrace.tasks.delete cloudtrace.tasks.get cloudtrace.tasks.list cloudtrace.traceScopes.* cloudtrace.traceScopes.create cloudtrace.traceScopes.delete cloudtrace.traceScopes.get cloudtrace.traceScopes.list cloudtrace.traceScopes.update cloudtrace.traces.get cloudtrace.traces.list observability.scopes.get observability.traceScopes.* observability.traceScopes.create observability.traceScopes.delete observability.traceScopes.get observability.traceScopes.list observability.traceScopes.update resourcemanager.projects.get resourcemanager.projects.list
Cloud Trace Agent (roles/cloudtrace.agent) For service accounts. Provides ability to write traces by sending the data to Stackdriver Trace. Lowest-level resources where you can grant this role: Project	cloudtrace.traces.patch telemetry.traces.write

תפקידים ב-Telemetry API

בטבלה הבאה מפורטים התפקידים המוגדרים מראש עבור Telemetry (OTLP) API וההרשאות שמוגדרות להם:

Role	Permissions
Telemetry Admin (roles/telemetry.admin) Admin role for telemetry	resourcemanager.projects.get resourcemanager.projects.list telemetry.* telemetry.consumers.getIamPolicy telemetry.consumers.setIamPolicy telemetry.consumers.writeLogs telemetry.consumers.writeMetrics telemetry.consumers.writeTraces telemetry.traces.write
Telemetry Editor (roles/telemetry.editor) Editor role for telemetry	resourcemanager.projects.get resourcemanager.projects.list telemetry.traces.write
Consumer Admin ^Beta (roles/telemetry.consumerAdmin) Grants permission management access to consumer resources.	telemetry.consumers.getIamPolicy telemetry.consumers.setIamPolicy
Cloud Telemetry Logs Writer ^Beta (roles/telemetry.logsWriter) Access to write logs.	logging.logEntries.create
Cloud Telemetry Metrics Writer (roles/telemetry.metricsWriter) Access to write metrics.	monitoring.timeSeries.create
Integrated Service Telemetry Logs Writer ^Beta (roles/telemetry.serviceLogsWriter) Allows an onboarded service to write log data to a destination.	telemetry.consumers.writeLogs
Integrated Service Telemetry Metrics Writer ^Beta (roles/telemetry.serviceMetricsWriter) Allows an onboarded service to write metrics data to a destination.	telemetry.consumers.writeMetrics
Integrated Service Telemetry Writer ^Beta (roles/telemetry.serviceTelemetryWriter) Allows an onboarded service to write all telemetry data to a destination.	telemetry.consumers.writeLogs telemetry.consumers.writeMetrics telemetry.consumers.writeTraces
Integrated Service Telemetry Traces Writer ^Beta (roles/telemetry.serviceTracesWriter) Allows an onboarded service to write trace data to a destination.	telemetry.consumers.writeTraces
Cloud Telemetry Traces Writer (roles/telemetry.tracesWriter) Access to write trace spans.	telemetry.traces.write
Cloud Telemetry Writer (roles/telemetry.writer) Full access to write all telemetry data.	logging.logEntries.create monitoring.timeSeries.create telemetry.traces.write

יצירת תפקידים מותאמים אישית

כדי ליצור תפקיד בהתאמה אישית שכולל הרשאות ל-Cloud Trace:

• כדי ליצור תפקיד שמכיל רק הרשאות לשימוש ב-Cloud Trace API, צריך לבחור את ההרשאות הספציפיות שנדרשות לקריאות ה-API.
• כדי ליצור תפקיד שמכיל הרשאות לשימוש ב-Cloud Trace API ובמסוףGoogle Cloud , בוחרים קבוצות הרשאות מאחד התפקידים המוגדרים מראש של Cloud Trace.
• כדי להעניק את היכולת לכתוב נתוני מעקב, מעתיקים את ההרשאות מהתפקיד Cloud Trace Agent‏ (roles/cloudtrace.agent).

מידע נוסף על תפקידים בהתאמה אישית זמין במאמר יצירה וניהול של תפקידים בהתאמה אישית.

הרשאות לשיטות API

מידע על ההרשאות שנדרשות להפעלת קריאה ל-API מופיע במאמרי העזרה של Cloud Trace API:

• מסמכי התיעוד של REST v1
• מסמכי תיעוד של REST v2
• מסמכי תיעוד של RPC

תפקידים למעקב חוצה פרויקטים

יכול להיות שהאפליקציות שלכם יאחסנו נתוני מעקב בכמה פרויקטים של Google Cloud . עם זאת, אפשר לראות את הנתונים האלה בפרויקט אחד אם מבצעים את הפעולות הבאות:

• בפרויקט שבו רוצים לראות את נתוני העקבות, מגדירים היקף עקבות. כדי להגדיר את ההיקף הזה, צריך להיות לכם התפקיד 'עריכת היקפי יכולת התבוננות' (roles/observability.scopesEditor).

• בפרויקט שבו רוצים להציג נתוני מעקב ובכל הפרויקטים שבהם מאוחסנים נתוני מעקב, יש לכם את התפקיד Cloud Trace User (roles/cloudtrace.user).

מידע נוסף זמין במאמר הצגת נתוני מעקב בפרויקטים.