GCP 모니터링 뷰어 IAM 권한 주기

iam 에게 monitoring viewer 및 대시보드를 편집할 수 있는 권한과 log 데이터를 볼 수 있는 권한을 주려 한다.

 

1) Cloud Logging 관련 역할
Logs Viewer  : 로그 데이터 보기

2) Cloud Monitoring 관련 역할
Monitoring Viewer : 모니터링 대시보드 보기 권한
Monitoring Dashboard Configuration Editor : Monitoring 대시보드를 생성/편집

 

 

IAM > GRANT ACCESS > 사용자 계정 입력 >  Logs Viewer, Monitoring Viewer, Monitoring Dashboard Configuration Editor 선택

role에서 입력할 때 대소문자를 구분하기 때문에 입력했을 때 안나오면 오타난거임

 

 

해당 권한 부여 받은 후 해당 프로젝트에 가서 log 데이터 및 monitoring 확인

 

1) 로그 데이터

로그데이터 잘 보임

 

데이터 쿼리도 조회해 볼 수 있다.

 

2) 모니터링 

Monitoring Dashboard Configuration Editor 권한이 있기 때문에 create dashboard 버튼이 활성화 되어있다.

 

create dashboard > add widget

 

metirc 데이터도 잘 보임

 

그런데 만약 monitoring viewer 권한을 뺀다면?

 

모니터링 대시보드를 생성 버튼은 활성화되어있으나 메트릭 데이터가 보이지 않음

결국 모니터링 대시보드를 생성할 수 없음

 

이유

 

iam> roles > monitoring viewer  확인하면 역할 중 stackdriver.resourcemetadata.list 라는 게 있음

 

이게 메타데이터를 조회할 수 있게 해줌

 

단순 Monitoring Dashboard Configuration Editor에서는 해당 역할이 없어 메트릭 데이터를 볼 수 없다.

단지 대시보드를 편집 하는 권한일 뿐이기 때문이다.

 

만약 리소스들을 다 조회해보고 대시보드에 추가하고 싶다면 리소스별로 viewer권한을 줘야하는 것 같다.

리소스별 권한 (필요에 따라 추가)

리소스 권한 설명

리소스	권한	설명
Compute Engine	roles/compute.viewer	VM 메트릭 보기.
Cloud Storage	roles/storage.objectViewer	Cloud Storage 버킷 메트릭 보기.
Kubernetes Engine	roles/container.viewer	Kubernetes 클러스터 메트릭 보기.
Cloud Run	roles/run.viewer	Cloud Run 서비스 메트릭 보기.
Cloud SQL	roles/cloudsql.viewer	Cloud SQL 인스턴스 메트릭 보기.
Pub/Sub	roles/pubsub.viewer	Pub/Sub 메시지 처리량 및 상태 메트릭 보기.