שליטה בגישה באמצעות IAM

בדף הזה מוסבר איך משתמשים בתפקידים ובהרשאות של ניהול זהויות והרשאות גישה (IAM) כדי לשלוט בגישה לנתונים של Error Reporting במשאבי Google Cloud .

סקירה כללית

ההרשאות והתפקידים ב-IAM קובעים את אפשרויות הגישה שלכם לנתונים דרך Error Reporting API ודרךGoogle Cloud המסוף.

כדי להשתמש ב-Error Reporting במשאב Google Cloud , כמו פרויקט, תיקייה או ארגון Google Cloud , צריך לקבל תפקיד IAM במשאב הזה. התפקיד הזה חייב לכלול את ההרשאות המתאימות.

תפקיד הוא אוסף של הרשאות. אי אפשר להעניק הרשאות ישירות לישות מורשית; במקום זאת, מעניקים לה תפקיד. כשאתם נותנים לחשבון משתמש תפקיד, אתם נותנים לו את כל ההרשאות שהתפקיד כולל. אתם יכולים להקצות לאותו חשבון משתמש כמה תפקידים.

תפקידים מוגדרים מראש

ב-IAM יש תפקידים מוגדרים מראש שנותנים גישה פרטנית יותר למשאבים ספציפיים.‏Google יוצרת את התפקידים האלה ומעדכנת אוטומטית את ההרשאות שלהם לפי הצורך, למשל כשנוספים ל-Error Reporting תכונות חדשות. Google Cloud Google Cloud

בטבלה הבאה מפורטים התפקידים ב-Error Reporting, השמות שלהם, התיאורים שלהם, ההרשאות שהם כוללים וסוג המשאב ברמה הנמוכה ביותר שבה אפשר להגדיר את התפקידים. אפשר להעניק תפקיד מסוים בסוג המשאב הזה, או ברוב המקרים בכל סוג שמעליו בהיררכייתGoogle Cloud .

במאמר הצגת המטא-נתונים של התפקיד תוכלו לראות את רשימת ההרשאות שכל תפקיד מכיל.

Role	Permissions
Error Reporting Admin ^Beta (roles/errorreporting.admin) Provides full access to Error Reporting data. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list errorreporting.* errorreporting.applications.list errorreporting.errorEvents.create errorreporting.errorEvents.delete errorreporting.errorEvents.list errorreporting.groupMetadata.get errorreporting.groupMetadata.update errorreporting.groups.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Error Reporting User ^Beta (roles/errorreporting.user) Provides the permissions to read and write Error Reporting data, except for sending new error events. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list errorreporting.applications.list errorreporting.errorEvents.delete errorreporting.errorEvents.list errorreporting.groupMetadata.* errorreporting.groupMetadata.get errorreporting.groupMetadata.update errorreporting.groups.list logging.notificationRules.* logging.notificationRules.create logging.notificationRules.delete logging.notificationRules.get logging.notificationRules.list logging.notificationRules.update resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Error Reporting Viewer ^Beta (roles/errorreporting.viewer) Provides read-only access to Error Reporting data. Lowest-level resources where you can grant this role: Project	cloudnotifications.activities.list errorreporting.applications.list errorreporting.errorEvents.list errorreporting.groupMetadata.get errorreporting.groups.list logging.notificationRules.get logging.notificationRules.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get
Error Reporting Writer ^Beta (roles/errorreporting.writer) Provides the permissions to send error events to Error Reporting. Lowest-level resources where you can grant this role: Service Account	errorreporting.errorEvents.create

הרשאות API

שיטות של Error Reporting API דורשות הרשאות ספציפיות ב-IAM. בטבלה הבאה מפורטות ההרשאות שנדרשות לשיטות (method) של ה-API.

‏Method	ההרשאות שנדרשות	תיאור
deleteEvents	errorreporting.errorEvents.delete	מחיקת אירועי שגיאה.
events.list	errorreporting.errorEvents.list	רשימה של אירועי שגיאה.
events.report	errorreporting.errorEvents.create	ליצור או לעדכן אירועי שגיאה.
groupStats.list	errorreporting.groups.list	רשימה ErrorGroupStats.
groups.get	errorreporting.groupMetadata.get	אחזור מידע על קבוצת שגיאות.
groups.update	errorreporting.groupMetadata.update errorreporting.applications.list	עדכון והשתקה של פרטי קבוצת השגיאות. שינוי סטטוס פתרון השגיאה. הצגת רשימה של שירותים וגרסאות בפרויקט.

שיקולים נוספים

כשמחליטים אילו הרשאות ותפקידים חלים על תרחישי השימוש של חשבון משתמש, כדאי לעיין בסיכום הבא של הפעילויות ב-Error Reporting וההרשאות הנדרשות:

פעילויות	ההרשאות הנדרשות
יש להם הרשאת קריאה בלבד לדף המסוף של Error Reporting Google Cloud .	errorreporting.applications.list errorreporting.groupMetadata.get errorreporting.groups.list
אפשר לראות את פרטי הקבוצה במסוף Google Cloud .	הרשאות לגישת קריאה בלבד, בנוסף ל: errorreporting.errorEvents.list
שינוי המטא-נתונים במסוף Google Cloud . שינוי סטטוס פתרון השגיאה, כולל השתקת שגיאות.	הרשאות לגישה לקריאה בלבד, בנוסף להרשאות הבאות: errorreporting.groupMetadata.update
מוחקים שגיאות במסוף Google Cloud .	הרשאות לגישת קריאה בלבד, בנוסף ל: errorreporting.errorEvents.delete
יצירת שגיאות (לא נדרשות הרשאות Google Cloud למסוף).	errorreporting.errorEvents.create
הרשמה לקבלת התראות.	הרשאות לגישה לקריאה בלבד, בנוסף להרשאות הבאות: cloudnotifications.activities.list

הקצאה וניהול של תפקידים

אפשר להקצות ולנהל תפקידי IAM באמצעותGoogle Cloud המסוף, ה-methods של IAM API או Google Cloud CLI. הוראות להענקת תפקידים ולניהול שלהם מופיעות במאמר הענקה, שינוי וביטול גישה.

אפשר להקצות כמה תפקידים לאותו משתמש. במאמר הצגת המטא-נתונים של התפקיד תוכלו לראות את רשימת ההרשאות שכל תפקיד מכיל.

אם אתם מנסים לגשת ל Google Cloud משאב ואין לכם את ההרשאות הנדרשות, פנו למשתמש שמופיע כבעלים של המשאב.

תפקידים בהתאמה אישית

כדי ליצור תפקיד בהתאמה אישית עם הרשאות ל-Error Reporting, בוחרים הרשאות מתוך הרשאות ל-API ופועלים לפי ההוראות ליצירת תפקיד בהתאמה אישית.

זמן האחזור של שינוי התפקיד

מערכת Error Reporting שומרת במטמון את ההרשאות ב-IAM למשך 5 דקות, ולכן יכול להיות שיחלפו עד 5 דקות עד ששינוי בתפקיד ייכנס לתוקף.