Contrôler les accès avec IAM

Vous pouvez utiliser les rôles Identity and Access Management (IAM) pour accorder des autorisations précises permettant d'afficher, d'écrire ou de gérer des ressources Cloud Trace, et d'empêcher tout accès non autorisé aux données de trace.

• Pour en savoir plus sur l'attribution de rôles IAM à un utilisateur ou à un compte de service, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
• Pour en savoir plus sur les rôles prédéfinis, consultez IAM : rôles et autorisations.
• Pour obtenir de l'aide sur le choix des rôles prédéfinis les plus appropriés, consultez la section Choisir des rôles prédéfinis.

Bonne pratique

Pour faciliter le dépannage, accordez le rôle Utilisateur Cloud Trace (roles/cloudtrace.user) à toutes les personnes, groupes et domaines qui doivent afficher les données de trace dans un projet. Ce rôle accorde aux comptes principaux les autorisations dont ils ont besoin pour afficher les données de trace.

Autorisations et rôles prédéfinis

Les rôles IAM sont associés à des autorisations. Ils peuvent être attribués aux utilisateurs, aux groupes et aux comptes de service.

Rôles Cloud Trace

Le tableau suivant répertorie les rôles prédéfinis pour Cloud Trace, ainsi que les autorisations associées à ces rôles :

Role	Permissions
Cloud Trace Admin (roles/cloudtrace.admin) Provides full access to the Trace console and read-write access to traces. Lowest-level resources where you can grant this role: Project	cloudtrace.* cloudtrace.insights.get cloudtrace.insights.list cloudtrace.stats.get cloudtrace.tasks.create cloudtrace.tasks.delete cloudtrace.tasks.get cloudtrace.tasks.list cloudtrace.traceScopes.create cloudtrace.traceScopes.delete cloudtrace.traceScopes.get cloudtrace.traceScopes.list cloudtrace.traceScopes.update cloudtrace.traces.get cloudtrace.traces.list cloudtrace.traces.patch observability.scopes.get observability.traceScopes.* observability.traceScopes.create observability.traceScopes.delete observability.traceScopes.get observability.traceScopes.list observability.traceScopes.update resourcemanager.projects.get resourcemanager.projects.list telemetry.traces.write
Cloud Trace User (roles/cloudtrace.user) Provides full access to the Trace console and read access to traces. Lowest-level resources where you can grant this role: Project	cloudtrace.insights.* cloudtrace.insights.get cloudtrace.insights.list cloudtrace.stats.get cloudtrace.tasks.* cloudtrace.tasks.create cloudtrace.tasks.delete cloudtrace.tasks.get cloudtrace.tasks.list cloudtrace.traceScopes.* cloudtrace.traceScopes.create cloudtrace.traceScopes.delete cloudtrace.traceScopes.get cloudtrace.traceScopes.list cloudtrace.traceScopes.update cloudtrace.traces.get cloudtrace.traces.list observability.scopes.get observability.traceScopes.* observability.traceScopes.create observability.traceScopes.delete observability.traceScopes.get observability.traceScopes.list observability.traceScopes.update resourcemanager.projects.get resourcemanager.projects.list
Cloud Trace Agent (roles/cloudtrace.agent) For service accounts. Provides ability to write traces by sending the data to Stackdriver Trace. Lowest-level resources where you can grant this role: Project	cloudtrace.traces.patch telemetry.traces.write

Rôles de l'API Telemetry

Le tableau suivant répertorie les rôles prédéfinis pour l'API Telemetry (OTLP), ainsi que les autorisations associées à ces rôles :

Role	Permissions
Telemetry Admin (roles/telemetry.admin) Admin role for telemetry	resourcemanager.projects.get resourcemanager.projects.list telemetry.* telemetry.consumers.getIamPolicy telemetry.consumers.setIamPolicy telemetry.consumers.writeLogs telemetry.consumers.writeMetrics telemetry.consumers.writeTraces telemetry.traces.write
Telemetry Editor (roles/telemetry.editor) Editor role for telemetry	resourcemanager.projects.get resourcemanager.projects.list telemetry.traces.write
Consumer Admin ^Beta (roles/telemetry.consumerAdmin) Grants permission management access to consumer resources.	telemetry.consumers.getIamPolicy telemetry.consumers.setIamPolicy
Cloud Telemetry Logs Writer (roles/telemetry.logsWriter) Access to write logs.	logging.logEntries.create
Cloud Telemetry Metrics Writer (roles/telemetry.metricsWriter) Access to write metrics.	monitoring.timeSeries.create
Integrated Service Telemetry Logs Writer ^Beta (roles/telemetry.serviceLogsWriter) Allows an onboarded service to write log data to a destination.	telemetry.consumers.writeLogs
Integrated Service Telemetry Metrics Writer ^Beta (roles/telemetry.serviceMetricsWriter) Allows an onboarded service to write metrics data to a destination.	telemetry.consumers.writeMetrics
Integrated Service Telemetry Writer ^Beta (roles/telemetry.serviceTelemetryWriter) Allows an onboarded service to write all telemetry data to a destination.	telemetry.consumers.writeLogs telemetry.consumers.writeMetrics telemetry.consumers.writeTraces
Integrated Service Telemetry Traces Writer ^Beta (roles/telemetry.serviceTracesWriter) Allows an onboarded service to write trace data to a destination.	telemetry.consumers.writeTraces
Cloud Telemetry Traces Writer (roles/telemetry.tracesWriter) Access to write trace spans.	telemetry.traces.write
Cloud Telemetry Writer (roles/telemetry.writer) Full access to write all telemetry data.	logging.logEntries.create monitoring.timeSeries.create telemetry.traces.write

Créer des rôles personnalisés

Pour créer un rôle personnalisé incluant des autorisations Cloud Trace, procédez comme suit :

• Pour créer un rôle ne contenant que les autorisations d'utilisation de l'API Cloud Trace, sélectionnez les autorisations spécifiques requises par vos appels d'API.
• Pour créer un rôle contenant les autorisations nécessaires pour utiliser l'API Cloud Trace et la consoleGoogle Cloud , choisissez des groupes d'autorisations parmi l'un des rôles Cloud Trace prédéfinis.
• Pour accorder la possibilité d'écrire des données de trace, copiez les autorisations du rôle Agent Cloud Trace (roles/cloudtrace.agent).

Pour en savoir plus sur les rôles personnalisés, consultez Créer et gérer des rôles personnalisés.

Autorisations pour les méthodes d'API

Pour en savoir plus sur les autorisations requises pour exécuter un appel d'API, consultez la documentation de référence de l'API Cloud Trace :

• Documentation REST v1
• Documentation REST v2
• Documentation sur les RPC

Rôles pour le traçage multiprojet

Vos applications peuvent stocker des données de trace dans plusieurs projets Google Cloud . Toutefois, vous pouvez afficher ces données dans un seul projet en procédant comme suit :

• Dans le projet où vous souhaitez afficher les données de trace, vous configurez un champ d'application de trace. Pour configurer ce champ d'application, vous devez disposer du rôle Éditeur des champs d'application pour Observability (roles/observability.scopesEditor).

• Dans le projet où vous souhaitez afficher les données de trace et dans tous les projets qui stockent des données de trace, vous disposez du rôle Utilisateur Cloud Trace (roles/cloudtrace.user).

Pour en savoir plus, consultez Afficher les traces de plusieurs projets.