Integración y roles personalizados

New Relic lee datos de su cuenta de GCP mediante la API de Google Stackdriver y otras API específicas del servicio. Para acceder a estas API, la cuenta autorizada de New Relic necesita permisos que GCP otorga a través de roles. Las API, los roles y los permisos exactos dependen de cómo conecte GCP a New Relic.

API para habilitar

Antes de conectarse, habilite las API de Google Cloud requeridas en cada proyecto que desee monitorear, utilizando la biblioteca API & Services.

Método de conexión	API para habilitar
Workload Identity Federation	IAM API: Gestionar el acceso de la cuenta de servicio Security Token Service API: intercambiar token durante la autenticación WIF Service Account Credentials API: generar tokens de acceso efímeros Stackdriver Monitoring API: leer métricas del monitoreo de la nube de GCP Asset API: descubrir recursos y metadatos Cloud Resource Manager API: obtener `displayName` de la carpeta
New Relic service account	Google Stackdriver Monitoring API

Roles requeridos

Para la mayoría de las configuraciones, el rol primitivo de GCP Viewer (roles/viewer) es suficiente. Proporciona acceso de solo lectura a los recursos y datos existentes sin afectar el estado de su infraestructura, y Google lo administra y actualiza automáticamente a medida que cambian los servicios de GCP. Para un control de permisos más estricto, use un rol personalizado en su lugar.

Los roles que otorgue dependen de su método de conexión.

Federación de identidades de workload (Workload Identity Federation)

Otorgue a la cuenta de servicio que cree estos roles en el proyecto:

Viewer (roles/viewer): leer recursos
Service Usage Consumer (roles/serviceusage.serviceUsageConsumer): acceso a las API habilitadas
Cloud Asset Viewer (roles/cloudasset.viewer): ver metadatos de activos de cloud
Folder Viewer (roles/resourcemanager.folderViewer): ver metadatos de la carpeta (requerido solo para las integraciones configuradas a nivel de carpeta)

La cuenta de servicio también debe permitir la suplantación de identidad desde el grupo de identidades. Durante la configuración, otorga el rol Workload Identity User (roles/iam.workloadIdentityUser) a la principal del grupo.

Restricciones de dominio

Si su organización aplica una restricción de dominio, actualice la política para permitir los siguientes identificadores de New Relic, según la restricción que utilice:

iam.allowedPolicyMemberDomains: permitir New Relic domain ID C02x1gp26
iam.managed.allowedPolicyMembers: permitir Organization ID 740422149647 o Project Number 397727728820

Usar un rol personalizado

Para controlar los permisos con mayor precisión de lo que permite el rol Viewer, cree un rol personalizado basado en la lista de permisos, que especifica el conjunto mínimo requerido para obtener datos de cada integración de GCP.

Importante

New Relic no tiene forma de identificar problemas relacionados con los permisos personalizados. Si elige crear un rol personalizado, es su responsabilidad mantenerlo y asegurarse de que recopile los datos correctamente.

Para configurar un rol personalizado:

Cree un rol personalizado de IAM de Google Cloud en cada proyecto de GCP que desee monitorear.
Agregue los permisos para los servicios en la nube que desea monitorear, utilizando la lista a continuación.
Asigne el rol personalizado a la cuenta autorizada de New Relic.

Lista de permisos

Todas las integraciones necesitan los siguientes permisos:

monitoring.timeSeries.list
serviceusage.services.use

Para algunas integraciones de GCP, New Relic también necesita los siguientes permisos, principalmente para recopilar etiquetas y otros atributos.

integracion	Permisos
Google AlloyDB	`alloydb.clusters.get` `alloydb.clusters.list` `alloydb.instances.get` `alloydb.instances.list`
Google AppEngine	No aplicable. Google App Engine no requiere permisos adicionales.
Google BigQuery	`bigquery.datasets.get` `bigquery.tables.get` `bigquery.tables.list` `bigquery.jobs.list`
Google Bigtable	`bigtable.instances.get` `bigtable.instances.list` `bigtable.clusters.get` `bigtable.clusters.list` `bigtable.tables.get` `bigtable.tables.list` `bigtable.appProfiles.get` `bigtable.appProfiles.list`
Google Cloud API Gateway	`apigateway.gateways.get` `apigateway.gateways.list` `apigateway.apis.get` `apigateway.apis.list` `apigateway.apiconfigs.get` `apigateway.apiconfigs.list` `apigateway.locations.list`
Google Cloud Composer	`composer.environments.get` `composer.environments.list`
Google Cloud Dataflow	`dataflow.jobs.get` `dataflow.jobs.list` `dataflow.messages.list` `dataflow.metrics.get`
Google Cloud Dataproc	`dataproc.clusters.get` `dataproc.clusters.list` `dataproc.jobs.get` `dataproc.jobs.list`
Google Cloud Functions	`cloudfunctions.functions.list`
Google Cloud Load Balancing	No aplicable. Google Cloud Load Balancing no requiere permisos adicionales.
Google Cloud Pub/Sub	`pubsub.subscriptions.get` `pubsub.subscriptions.list` `pubsub.topics.get` `pubsub.topics.list`
Google Cloud Router	`compute.routers.get` `compute.routers.list`
Google Cloud Run	`run.configurations.get` `run.configurations.list` `run.locations.list` `run.revisions.get` `run.revisions.list` `run.routes.get` `run.routes.list` `run.services.get` `run.services.list`
Google Cloud Spanner	`spanner.instances.get` `spanner.instances.list` `spanner.databases.get` `spanner.databases.list` `spanner.databases.getDdl`
Google Cloud SQL	`cloudsql.instances.list`
Google Cloud Storage	`storage.buckets.list`
Google Compute Engine	`compute.instances.list` `compute.disks.get` `compute.disks.list`
Google Datastore	`datastore.databases.get` `datastore.databases.list`
Google Firebase Authentication	`firebase.projects.get` `firebaseauth.configs.get`
Google Firebase Realtime Database	`firebase.projects.get` `firebasedatabase.instances.get` `firebasedatabase.instances.list`
Google Firebase Hosting	`firebase.projects.get` `firebasehosting.sites.get` `firebasehosting.sites.list`
Google Firebase Storage	`firebase.projects.get` `firebasestorage.buckets.get` `firebasestorage.buckets.list`
Google Firestore	`datastore.databases.get` `datastore.databases.list`
Google Kubernetes Engine	`container.clusters.list`
Google Managed Kafka	`managedkafka.clusters.get` `managedkafka.clusters.list` `managedkafka.topics.get` `managedkafka.topics.list` `managedkafka.consumerGroups.get` `managedkafka.consumerGroups.list`
Almacén de memoria de Google para Memcached	`memcache.instances.get` `memcache.instances.list`
Almacén de memoria de Google para Redis	`redis.instances.get` `redis.instances.list`
Google Memorystore para Valkey	`memorystore.instances.get` `memorystore.instances.list`
Google Serverless VPC Access	`vpcaccess.connectors.get` `vpcaccess.connectors.list` `vpcaccess.locations.list`
Google Vertex AI	`aiplatform.endpoints.get` `aiplatform.endpoints.list` `aiplatform.models.get` `aiplatform.models.list`

Sugerencia

Esto se aplica solo a los métodos de conexión New Relic service account y Google user account. Con Workload Identity Federation, estos permisos no son necesarios: New Relic utiliza su propia cuenta de servicio (que ya tiene el rol Viewer) para enumerar los proyectos accesibles después de establecer la conexión WIF.

Para ver la lista de proyectos que puede vincular a New Relic a través de la UI, su cuenta de servicio autorizada de New Relic necesita estos permisos:

resourcemanager.projects.get
monitoring.monitoredResourceDescriptors.list
Si prefiere no otorgar estos permisos, tiene dos alternativas:
Asigne el rol Role Viewer o Monitoring Viewer para vincular proyectos a través de la UI, luego cambie a un rol personalizado después de vincular los proyectos.
Utilice New Relic NerdGraph para vincular proyectos sin enumerarlos. Debe conocer el proyecto id de antemano. Consulte el tutorial de la API de integración en la nube de NerdGraph GraphiQL para obtener más detalles.

Te ofrecemos esta traducción automática para facilitar la lectura.

API para habilitar .css-21sua1{background:none;border:none;width:0;padding:0;}