概要

ログの RBAC ロールを作成したら、そのロールにアクセス許可を割り当てたり削除したりできます。

個々のアクセス許可に関する詳細は、以下をご覧ください。

ログコンフィギュレーションアクセス

logs_generate_metrics

Generate Metrics 機能を使用する能力をロールに付与します。

このアクセス許可はグローバルで、これにより新しいメトリクスの作成と、既存のメトリクスの編集または削除の両方が可能になります。

logs_write_facets

ファセットの作成、編集、および削除を使用する能力をロールに付与します。

このアクセス許可はグローバルで、これにより新しいファセットの作成と、既存のメトリクスの編集または削除の両方が可能になります。

logs_modify_indexes

ログインデックスを作成および変更する能力をロールに付与します。それには以下が含まれます。

• インデックスにルーティングするログを指定するためのインデックスフィルターを設定します。
• インデックスに対するログの保存期間を設定します。
• 別のロールに、特定のインデックスを範囲とするログ読み取りインデックスデータおよびログ書き込み除外フィルターアクセス許可を付与します。

このアクセス許可はグローバルで、これにより新しいインデックスの作成と、既存のインデックスの編集の両方が可能になります。

logs_write_exclusion_filters

インデックス内で除外フィルターを作成または変更する能力をロールに付与します。

このアクセス許可は、グローバルに割り当てることも、インデックスのサブセットに制限することもできます。

インデックスのサブセット:

logs_write_pipelines

ログ処理パイプラインを作成および変更する能力をロールに付与します。それには以下が含まれます。

• パイプラインの名前を設定する
• 処理パイプラインに入る必要があるログにパイプラインフィルターを設定する
• パイプラインを並べ替える
• 別のロールに、そのパイプラインを対象としたログ書き込みプロセッサアクセス許可を付与します
• 標準属性またはファセットのエイリアス設定を管理する

logs_write_processors

プロセッサとネストされたパイプラインを作成、編集、または削除する能力をロールに付与します。

このアクセス許可は、グローバルに割り当てることも、パイプラインのサブセットに制限することもできます。

curl -X POST \
        https://app.datadoghq.com/api/v2/roles/<ROLE_UUID>/permissions \
        -H "Content-Type: application/json" \
        -H "DD-API-KEY: <YOUR_DATADOG_API_KEY>" \
        -H "DD-APPLICATION-KEY: <YOUR_DATADOG_APPLICATION_KEY>" \
        -d '{
                "id": "<PERMISSION_UUID>",
                "type": "permissions"
            }'

logs_write_archives

ログアーカイブを作成、編集、または削除する能力を付与します。それには以下が含まれます。

• アーカイブにルーティングするログのアーカイブフィルターを設定する
• アーカイブの名前を設定する
• アーカイブを並べ替える
• ログ読み取りアーカイブアクセス許可をロールのサブセットに制限します。

このアクセス許可はグローバルで、これにより新しいアーカイブの作成と、既存のアーカイブの編集と削除が可能になります。

logs_read_archives

アーカイブコンフィギュレーションの詳細にアクセスする能力を付与します。 ログ書き込み履歴ビューと組み合わせて、このアクセス許可はアーカイブからリハイドレートをトリガーする能力も付与します。

このアクセス許可の対象はアーカイブのサブセットとなります。アクセス制限のないアーカイブは、logs_read_archives アクセス許可をもつロールに属するユーザー全員が閲覧できます。アクセスが制限されているアーカイブは、logs_read_archives が許可されているロールを除き、登録済みのロールのいずれかに属するユーザーのみしかアクセスできません。

以下の例では、Guest 以外のすべてのロールに logs_read_archive 許可が付与されていることを前提としています。

• Staging には Guest ロールのみに属するユーザーを除くすべてのユーザーがアクセスできます。
• Prod には Customer Support に属するすべてのユーザーがアクセスできます。
• Security-Audit には、Customer Support に属するユーザーはアクセスできません。Audit & Security も同時に付与されている場合はアクセスが可能です。

アーカイブの作成に進むことも、アーカイブの編集中にいつでも更新することもできます。

ログアーカイブ API を使用して、特定のアーカイブからロールを割り当てまたは取り消しします。

logs_write_historical_views

Log Rehydration* をトリガーすることを意味する、履歴ビューを書き込む能力を付与します。

このアクセス許可はグローバルです。 これにより、ユーザーは、ログ読み取りアーカイブアクセス許可を持つアーカイブのリハイドレートをトリガーできます。

上記の例では

• ADMIN ロールメンバーは、そのアーカイブに対する履歴ビューの書き込み (リハイドレート) アクセス許可と、アーカイブの読み取りアクセス許可を持っているため、Audit Archive からリハイドレートできます。
• AUDIT ロールメンバーは、履歴ビューの書き込み (リハイドレート) アクセス許可を持っていないため、Audit Archive からリハイドレートすることはできません。
• PROD ロールメンバーは、アーカイブの読み取りアクセス許可を持っていないため、Audit Archive からリハイドレートすることはできません。

Audit Archive からリハイドレートされたすべてのログに team:audit タグを割り当てるときは、team:audit ログの読み取りに制限されている Audit ロールメンバーがリハイドレートされたコンテンツにのみアクセスできることを確認してください。タグの追加とリハイドレートの方法の詳細については、ログアーカイブ設定セクションを参照してください。

Prod Archive からリハイドレートされた service:ci-cd ログの場合、次の点に注意してください。

• インデックスデータのログ読み取りレガシーアクセス許可を使用しない場合、これらのログには CI-CD ロールメンバーがアクセスできます。
• インデックスデータのログ読み取りレガシーアクセス許可を使用する場合、結果の履歴ビューは PROD および ADMIN ロールメンバーに制限されるため、これらのログには CI-CD ロールメンバーはアクセスできません。

削除: logs_public_config_api

Datadog は logs_public_config_api 権限を削除しました。

以下の 5 つの権限が、Datadog API を通じて、ログ構成の表示、作成、修正の能力を制御します。

• logs_generate_metrics
• logs_modify_indexes
• logs_write_archives
• logs_write_pipelines
• user_access_manage

ログデータアクセス

次のアクセス許可を付与してログデータのサブセットの読み取りアクセス権を管理します。

• ログ読み取りデータ (推奨) は、ログ制限クエリに一致するログへのロールのアクセスを制限することにより、よりきめ細かなアクセス制御を提供します。
• ログ読み取りインデックスデータは、インデックスごとにインデックス付きログデータへのデータアクセスを制限するレガシーアプローチです。(インデックスされたデータにアクセスする際にもこのアクセス許可を有効にすることが求められます)

logs_read_data

ログデータへの読み取りアクセス権。付与された場合、他の制限が適用されます (logs_read_index_data または制限クエリなど)。

ロールは付加的です。ユーザーが複数のロールに属している場合、ユーザーがアクセスできるデータは、各ロールからのすべてのアクセス許可の結合になります。

例:

• ユーザーがログ読み取りデータのあるロールに属し、ログ読み取りデータのないロールにも属している場合、ユーザーにはデータを読み取るアクセス許可があります。
• ユーザーが 1 つのロールで service:sandbox に制限されており、別のロールで env:prod に制限されている場合、ユーザーはすべての env:prod と service:sandbox ログにアクセスできます。

レガシーアクセス許可

これらのアクセス許可は、デフォルトですべてのユーザーに対してグローバルに有効になっています。

ログ読み取りデータアクセス許可は、これらのレガシーアクセス許可の上にあります。たとえば、ユーザーがクエリ service:api に制限されているとします。

• このユーザーが audit および errors インデックスのスコープ読み取りインデックスデータアクセス許可を持っている場合、このユーザーにはこれらのインデックス内の service:api ログのみが表示されます。
• このユーザーが livetail 権限を持っている場合、このユーザーには livetail の service:api ログのみが表示されます。

logs_read_index_data

いくつかのログインデックスでロールに読み取りアクセス権を付与します。これは、グローバルに割り当てることも、ログインデックスのサブセットに制限することもできます。

このアクセス許可の範囲をインデックスのサブセットに設定するには、まずロールの logs_read_index_data および logs_modify_indexes アクセス許可を削除します。その後、

このロールにコンフィギュレーションページのインデックスへのアクセスを許可します。

• 特定のパイプラインに割り当てるロールのロール ID を取得します。
• 地域の logs_write_processors アクセス許可 API のアクセス許可 ID を取得します。
• 以下の呼び出しで、そのロールにアクセス許可を付与します。

curl -X POST \
        https://app.datadoghq.com/api/v2/roles/<ROLE_UUID>/permissions \
        -H "Content-Type: application/json" \
        -H "DD-API-KEY: <YOUR_DATADOG_API_KEY>" \
        -H "DD-APPLICATION-KEY: <YOUR_DATADOG_APPLICATION_KEY>" \
        -d '{
                "id": "<PERMISSION_UUID>",
                "type": "permissions"
            }'

logs_live_tail

ロールに Live Tail 機能を使用する能力を付与します。

このアクセス許可はグローバルで、ログ読み取りインデックスデータアクセス許可に関係なく、livetail へのアクセスを許可します。

参考資料

お役に立つドキュメント、リンクや記事:

ログ用に RBAC を設定する方法DOCUMENTATION RBAC アクセス許可の詳細DOCUMENTATION