New Relicは、Google Stackdriver APIやその他のサービス固有のAPIを使用して、GCPアカウントからデータを読み取ります。これらのAPIにアクセスするには、New Relicの承認済みアカウントに、GCPがロールを通じて付与する権限が必要です。正確なAPI、ロール、および権限は、GCPをNew Relicに接続する方法によって異なります。
有効にするAPI
接続する前に、API & Servicesライブラリを使用して、モニターする各プロジェクトで必要なGoogle Cloud APIを有効にします。
接続方法 | 有効にするAPI |
|---|---|
Workload Identity Federation |
|
New Relic service account | Google Stackdriver Monitoring API |
必要なロール
ほとんどの設定では、GCPの基本ロールViewer（roles/viewer）で十分です。これは、インフラストラクチャの状態に影響を与えることなく、既存のリソースとデータへの読み取り専用アクセスを提供し、GCPサービスの変更に伴いGoogleが自動的に管理および更新します。より厳密な権限制御を行うには、代わりにカスタムロールを使用してください。
付与するロールは、接続方法によって異なります。
ワークロード Identity Federation
作成するサービスアカウントに、プロジェクトでこれらのロールを付与してください：
Viewer（roles/viewer）：リソースの読み取りService Usage Consumer（roles/serviceusage.serviceUsageConsumer）：有効なAPIへのアクセスCloud Asset Viewer（roles/cloudasset.viewer）：cloudアセットのメタデータを表示Folder Viewer(roles/resourcemanager.folderViewer): フォルダのメタデータを表示する（フォルダレベルで構成されたインテグレーションにのみ必須）
サービスアカウントは、IDプールからの権限借用も許可する必要があります。セットアップ中に、プールのプリンシパルにWorkload Identity Userロール（roles/iam.workloadIdentityUser）を付与します。
ドメイン制限の制約
組織がドメイン制限の制約を適用している場合は、使用する制約に応じて、以下のNew Relic識別子を許可するようにポリシーを更新してください：
iam.allowedPolicyMemberDomains：New Relicを許可する domain IDC02x1gp26iam.managed.allowedPolicyMembers: Organization ID740422149647を許可するか、 Project Number397727728820
カスタムロールを使用する
Viewerロールで許可されるよりも正確に権限を制御するには、各GCPインテグレーションからデータを取得するために必要な最小限のセットを指定する権限のリストに基づいてカスタムロールを作成します。
重要
New Relicには、カスタム権限に関連する問題を特定する方法はありません。カスタムロールを作成することを選択した場合、それを維持し、データが適切に収集されるようにすることはご自身の責任となります。
カスタムロールを設定するには：
- モニターする各GCPプロジェクトで、Google Cloud IAMカスタムロールを作成してください。
- 以下のリストを使用して、モニターするクラウドサービスの権限を追加してください。
- New Relicの承認済みアカウントにカスタムロールを割り当ててください。
パーミッションの一覧
すべてのインテグレーションには以下の権限が必要となります：
monitoring.timeSeries.listserviceusage.services.use
一部のGCPインテグレーションでは、New Relicは主にタグやその他の属性を収集するために、以下の権限も必要とします。
統合 | 権限 |
|---|---|
該当なし。Google App Engineは追加の権限を必要としません。 | |
| |
| |
| |
該当なし。Google Cloud Load Balancingでは、追加の権限は必要ありません。 | |
| |
| |
| |
| |
| |
| |
|
ヒント
これは、New Relic service accountおよびGoogle user accountの接続方法にのみ適用されます。Workload Identity Federationを使用する場合、これらの権限は必要ありません：WIF接続を確立した後、New Relicはお客様自身のサービスアカウント（すでにViewerロールが付与されています）を使用して、アクセス可能なプロジェクトを一覧表示します。
UIを通じてNew Relicにリンクできるプロジェクトのリストを表示するには、New Relicの承認済みサービスアカウントに以下の権限が必要です：
resourcemanager.projects.getmonitoring.monitoredResourceDescriptors.listこれらの権限を付与したくない場合は、2つの代替手段があります：
UIを通じてプロジェクトをリンクするには、
Role ViewerまたはMonitoring Viewerのロールを割り当て、プロジェクトをリンクした後にカスタムロールに切り替えてください。プロジェクトをリストせずにリンクするには、New Relic NerdGraphを使用してください。事前にプロジェクト
idを知っている必要があります。詳細については、NerdGraph GraphiQLクラウドインテグレーションAPIチュートリアルをご覧ください。