プロジェクトのロール定義

このセクションの表では、さまざまな事前定義ロールとその権限について説明します。テーブルには次の列が含まれています。

  • 名前: ユーザー インターフェース（UI）に表示されるロールの名前。
  • Kubernetes リソース名: 対応する Kubernetes カスタム リソースの名前。
  • レベル: このロールのスコープが組織またはプロジェクトのどちらであるかを指定します。
  • タイプ: このロールのタイプ。たとえば、Role、ProjectRole、ClusterRole、ProjectClusterRole などの値が考えられます。
  • バインディング タイプ: このロールに適用する必要があるバインディングのタイプ。
  • Management API サーバーまたは Kubernetes クラスタの権限: このロールが Management API サーバーまたは Kubernetes クラスタに対して持つ権限。たとえば、読み取り、書き込み、読み取りと書き込み、該当なし（N/A）などの値があります。
  • エスカレーション先: このロールが他のロールにエスカレーションするかどうかを指定します。

AO ペルソナ、事前定義された ID とアクセスロール

AO ペルソナ
名前 Kubernetes リソース名 初期管理者 レベル 型
プロジェクト IAM 管理者 project-iam-admin 正しい プロジェクト Role
AI Ocr Developer ai-ocr-developer False プロジェクト Role
AI Speech デベロッパー ai-speech-developer False プロジェクト Role
AI Translation Developer ai-translation-developer False プロジェクト Role
Certificate Authority Service 管理者 certificate-authority-service-admin False プロジェクト Role
証明書サービス管理者 certificate-service-admin False プロジェクト Role
カスタムロール プロジェクト管理者 custom-role-project-admin False プロジェクト Role
ダッシュボード エディタ dashboard-editor False プロジェクト Role
ダッシュボード閲覧者 dashboard-viewer False プロジェクト Role
AuditLoggingTarget カスタム リソースのデバッグ auditloggingtarget-monitor False プロジェクト Role
Harbor インスタンス閲覧者 harbor-instance-viewer False プロジェクト Role
Harbor プロジェクト作成者 harbor-project-creator False プロジェクト Role
K8S NetworkPolicy 管理者 k8s-networkpolicy-admin False プロジェクト ProjectRole
ロードバランサ管理者 load-balancer-admin False プロジェクト Role
LoggingRule 作成者 loggingrule-creator False プロジェクト Role
LoggingRule 編集者 loggingrule-editor False プロジェクト Role
LoggingRule 閲覧者 loggingrule-viewer False プロジェクト Role
LoggingTarget Creator loggingtarget-creator False プロジェクト Role
LoggingTarget 編集者 loggingtarget-editor False プロジェクト Role
LoggingTarget 閲覧者 loggingtarget-viewer False プロジェクト Role
マネージド DNS プロジェクト管理者 managed-dns-project-admin False プロジェクト Role
マネージド DNS プロジェクト閲覧者 managed-dns-project-viewer False プロジェクト Role
MonitoringRule エディタ monitoringrule-editor False プロジェクト Role
MonitoringRule 閲覧者 monitoringrule-viewer False プロジェクト Role
MonitoringTarget 編集者 monitoringtarget-editor False プロジェクト Role
MonitoringTarget 閲覧者 monitoringtarget-viewer False プロジェクト Role
Namespace Admin namespace-admin False プロジェクト ProjectRole
NAT 閲覧者 nat-viewer False プロジェクト ProjectRole
ObservabilityPipeline 編集者 observabilitypipeline-editor False プロジェクト Role
ObservabilityPipeline 閲覧者 observabilitypipeline-viewer False プロジェクト Role
プロジェクト バケット管理者 project-bucket-admin False プロジェクト Role
プロジェクト バケット オブジェクト管理者 project-bucket-object-admin False プロジェクト Role
プロジェクト バケット オブジェクト閲覧者 project-bucket-object-viewer False プロジェクト Role
Project Cortex Alertmanager 編集者 project-cortex-alertmanager-editor False プロジェクト Role
Project Cortex Alertmanager 閲覧者 project-cortex-alertmanager-viewer False プロジェクト Role
Project Cortex Prometheus Viewer project-cortex-prometheus-viewer False プロジェクト Role
プロジェクト ファイル共有管理者 project-fileshare-admin False プロジェクト Role
プロジェクト Grafana 閲覧者 project-grafana-viewer False プロジェクト Role
プロジェクト メンテナンス ポリシー管理者 project-mp-admin False プロジェクト Role
プロジェクト メンテナンス ポリシー バインディング編集者 project-mpb-editor False プロジェクト Role
プロジェクト メンテナンス ポリシー バインディング閲覧者 project-mpb-viewer False プロジェクト Role
プロジェクトのメンテナンス ポリシーの編集者 project-mp-editor False プロジェクト Role
プロジェクト メンテナンス ポリシー閲覧者 project-mp-viewer False プロジェクト Role
プロジェクトの NetworkPolicy 管理者 project-networkpolicy-admin False プロジェクト Role
プロジェクト閲覧者 project-viewer False プロジェクト Role
プロジェクト VirtualMachine 管理者 project-vm-admin False プロジェクト Role
プロジェクトの VirtualMachine イメージ管理者 project-vm-image-admin False プロジェクト Role
シークレット管理者 secret-admin False プロジェクト Role
シークレット閲覧者 secret-viewer False プロジェクト Role
Spark Operator mkt-spark-operator False 組織 Role
サブネット プロジェクト管理者 subnet-project-admin False プロジェクト Role
サブネット プロジェクト オペレーター subnet-project-operator False プロジェクト Role
ボリューム レプリケーション管理者 app-volume-replication-admin False 組織 ClusterRole
ワークロード閲覧者 workload-viewer False プロジェクト ProjectRole

AO ペルソナ、事前定義された ID とアクセスロール

AO ペルソナ
名前 バインディング タイプ Management API サーバーの権限 Kubernetes クラスタの権限 Escalates to
プロジェクト IAM 管理者 RoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、ProjectClusterRole、ProjectRoleBinding、ProjectClusterRoleBinding: 作成、読み取り、更新、削除、バインド
  • ProjectServiceAccount: 作成、読み取り、更新、削除
  • プロジェクトの名前空間を一覧表示する
 なし その他のすべての AO ロール
AI Ocr Developer RoleBinding OCR リソース: 読み取りと書き込み なし なし
AI Speech デベロッパー RoleBinding Speech リソース: 読み取りと書き込み なし なし
AI Translation Developer RoleBinding 翻訳リソース: 読み取りと書き込み なし なし
Certificate Authority Service 管理者 RoleBinding 認証局と証明書リクエスト: 取得、一覧表示、監視、更新、作成、削除、パッチ適用 なし なし
証明書サービス管理者 RoleBinding 証明書と証明書発行者: 取得、リスト表示、監視、更新、作成、削除、パッチ適用 なし なし
カスタムロール プロジェクト管理者 RoleBinding カスタムロール プロジェクト リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
ダッシュボード エディタ RoleBinding Dashboard カスタム リソース: 取得、読み取り、作成、更新、削除、パッチ適用 なし なし
ダッシュボード閲覧者 RoleBinding Dashboard: 取得と読み取り なし なし
AuditLoggingTarget カスタム リソースのデバッグ RoleBinding
  • DNS 登録: 取得、一覧表示
  • Audit logging targets : 取得、一覧表示、更新、削除、パッチ適用
 なし なし
Harbor インスタンス閲覧者 RoleBinding Harbor インスタンス: 読み取り なし なし
Harbor プロジェクト作成者 RoleBinding Harbor インスタンス プロジェクト: 作成、取得、監視 なし なし
K8S NetworkPolicy 管理者 ProjectRoleBinding なし NetworkPolicy リソース: 作成、読み取り、取得、更新、削除、パッチ適用 なし
ロードバランサ管理者 RoleBinding なし
  • Backend: 取得、監視、一覧表示、作成、パッチ適用、更新、削除
  • HealthCheck: 取得、監視、一覧表示、作成、パッチ適用、更新、削除
  • BackendService: 取得、監視、一覧表示、作成、パッチ適用、更新、削除
  • ForwardingRuleExternal: 取得、監視、一覧表示、作成、パッチ適用、更新、削除
  • ForwardingRuleInternal: 取得、監視、一覧表示、作成、パッチ適用、更新、削除
 なし
LoggingRule 作成者 RoleBinding LoggingRule カスタム リソース: 作成、取得、一覧表示、モニタリング なし なし
LoggingRule 編集者 RoleBinding LoggingRule カスタム リソース: 取得、一覧表示、監視、更新、削除、パッチ適用 なし なし
LoggingRule 閲覧者 RoleBinding LoggingRule カスタム リソース: 読み取り なし なし
LoggingTarget Creator RoleBinding LoggingTarget カスタム リソース: 作成、取得、一覧表示、モニタリング なし なし
LoggingTarget 編集者 RoleBinding LoggingTarget カスタム リソース: 取得、一覧表示、監視、更新、削除、パッチ適用 なし なし
LoggingTarget 閲覧者 RoleBinding LoggingTarget カスタム リソース: 読み取り なし なし
マネージド DNS プロジェクト管理者 RoleBinding
  • マネージド DNS ゾーンとリソース レコードセット（ManagedDNSZone、ResourceRecordSet）: 作成、読み取り、更新、パッチ適用、削除
 なし なし
マネージド DNS プロジェクト閲覧者 RoleBinding マネージド DNS ゾーンとリソース レコードセット（ManagedDNSZone、ResourceRecordSet）: 取得、一覧表示、監視 なし なし
MonitoringRule エディタ RoleBinding MonitoringRule カスタム リソース: 作成、読み取り、更新、削除、パッチ適用 なし なし
MonitoringRule 閲覧者 RoleBinding MonitoringRule カスタム リソース: 読み取り なし なし
MonitoringTarget 編集者 RoleBinding MonitoringTarget カスタム リソース: 作成、読み取り、更新、削除、パッチ適用 なし なし
MonitoringTarget 閲覧者 RoleBinding MonitoringTarget カスタム リソース: 読み取り なし なし
Namespace Admin ProjectRoleBinding なし すべてのリソース: プロジェクト Namespace の読み取り / 書き込みアクセス なし
NAT 閲覧者 ProjectRoleBinding なし Deployment: 取得と読み取り なし
ObservabilityPipeline 編集者 RoleBinding ObservabilityPipeline リソース: 取得、読み取り、作成、更新、削除、パッチ適用 なし なし
ObservabilityPipeline 閲覧者 RoleBinding ObservabilityPipeline リソース: 取得と読み取り なし なし
プロジェクト バケット管理者 RoleBinding バケット: プロジェクト Namespace の読み取りと書き込み なし なし
プロジェクト バケット オブジェクト管理者 RoleBinding
  • バケット: 読み取り
  • オブジェクト: 読み取りと書き込み
 なし なし
プロジェクト バケット オブジェクト閲覧者 RoleBinding バケットとオブジェクト: 読み取り なし なし
Project Cortex Alertmanager 編集者 RoleBinding Cortex システムと Cortex Alertmanager: 読み取りと書き込み なし なし
Project Cortex Alertmanager 閲覧者 RoleBinding Cortex システムと Cortex Alertmanager: 既読 なし なし
Project Cortex Prometheus Viewer RoleBinding Cortex システムと Cortex Prometheus: 既読 なし なし
プロジェクト ファイル共有管理者 RoleBinding ファイル共有、エクスポート グループ、エクスポート グループ バインディング: 作成、取得、一覧表示、監視、削除 なし なし
プロジェクト Grafana 閲覧者 RoleBinding Grafana システムと Grafana: 読み取りと書き込み なし なし
プロジェクト メンテナンス ポリシー管理者 RoleBinding プロジェクト メンテナンス ポリシー リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
プロジェクト メンテナンス ポリシー バインディング編集者 RoleBinding プロジェクト メンテナンス ポリシー バインディング リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
プロジェクト メンテナンス ポリシー バインディング閲覧者 RoleBinding プロジェクト メンテナンス ポリシー バインディング リソース: 取得、一覧表示、監視 なし なし
プロジェクトのメンテナンス ポリシーの編集者 RoleBinding プロジェクト メンテナンス ポリシー リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
プロジェクト メンテナンス ポリシー閲覧者 RoleBinding Project Maintenance Policy リソース: 取得、一覧表示、監視 なし なし
プロジェクトの NetworkPolicy 管理者 RoleBinding プロジェクト ネットワーク ポリシー: プロジェクト Namespace の読み取りと書き込み なし なし
プロジェクト閲覧者 RoleBinding プロジェクト Namespace 内のすべてのリソース: 読み取り なし なし
プロジェクト VirtualMachine 管理者 RoleBinding
  • 仮想マシン、ディスク、アクセス リクエスト、外部アクセス、バックアップ リクエスト、バックアップ、復元リクエスト、バックアップ削除リクエスト、復元、パスワード リセット リクエスト: 読み取り、作成、更新、削除
  • 仮想マシンの再起動: Put
  • 仮想マシン イメージ、バックアップ プラン、バックアップ プラン テンプレート: 読み取り
 なし なし
プロジェクトの VirtualMachine イメージ管理者 RoleBinding
  • VM イメージ: 読み取り
  • VM イメージのインポート: 読み取りと書き込み
  • バケット: 作成
  • 「vm-images-bucket」バケット: 読み取りと書き込み
 なし なし
シークレット管理者 RoleBinding Kubernetes Secret: 読み取り、作成、更新、削除、パッチ適用 なし なし
シークレット閲覧者 RoleBinding Kubernetes Secret: 読み取り なし なし
Spark Operator RoleBinding Spark リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
サブネット プロジェクト管理者 RoleBinding サブネット プロジェクト リソース: 作成、取得、一覧表示、監視、更新、パッチ適用、削除 なし なし
サブネット プロジェクト オペレーター RoleBinding Subnet リソース: 作成、取得、一覧表示、削除 なし なし
ボリューム レプリケーション管理者 ClusterRoleBinding Volume failovers, volume relationship replicas: 作成、取得、一覧表示、監視、削除 なし なし
ワークロード閲覧者 ProjectRoleBinding なし
  • プロジェクト Namespace の Pod カスタム リソース: 読み取り
  • プロジェクト Namespace の Deployment カスタム リソース: 読み取り
 なし

一般的な事前定義の ID とアクセスのロール

一般的なロール
名前 Kubernetes リソース名 初期管理者 レベル 型
ダッシュボード エディタ dashboard-editor False 組織 / プロジェクト ClusterRole/Role
ダッシュボード閲覧者 dashboard-viewer False 組織 / プロジェクト ClusterRole/Role
フローログ管理者 flowlog-admin False 組織 ClusterRole
フローログ ビューア flowlog-viewer False 組織 ClusterRole
LoggingRule 作成者 loggingrule-creator False 組織 / プロジェクト ClusterRole/Role
LoggingRule 編集者 loggingrule-editor False 組織 / プロジェクト ClusterRole/Role
LoggingRule 閲覧者 loggingrule-viewer False 組織 / プロジェクト ClusterRole/Role
LoggingTarget Creator loggingtarget-creator False 組織 / プロジェクト ClusterRole/Role
LoggingTarget 編集者 loggingtarget-editor False 組織 / プロジェクト ClusterRole/Role
LoggingTarget 閲覧者 loggingtarget-viewer False 組織 / プロジェクト ClusterRole/Role
MonitoringRule エディタ monitoringrule-editor False 組織 / プロジェクト ClusterRole/Role
MonitoringRule 閲覧者 monitoringrule-viewer False 組織 / プロジェクト ClusterRole/Role
MonitoringTarget 編集者 monitoringtarget-editor False 組織 / プロジェクト ClusterRole/Role
MonitoringTarget 閲覧者 monitoringtarget-viewer False 組織 / プロジェクト ClusterRole/Role
ObservabilityPipeline 編集者 observabilitypipeline-editor False 組織 / プロジェクト ClusterRole/Role
ObservabilityPipeline 閲覧者 observabilitypipeline-viewer False 組織 / プロジェクト ClusterRole/Role
システム Artifact Registry anthos-creds シークレット モニター sar-anthos-creds-secret-monitor False 組織 Role

一般的な事前定義の ID とアクセスのロール

一般的なロール
名前 バインディング タイプ 管理クラスタの権限 Kubernetes クラスタの権限 エスカレーション先
ダッシュボード エディタ ClusterRoleBinding/RoleBinding Dashboard カスタム リソース: 取得、読み取り、作成、更新、削除、パッチ適用 なし なし
ダッシュボード閲覧者 ClusterRoleBinding/RoleBinding Dashboard: 取得と読み取り なし なし
フローログ管理者 ClusterRoleBinding フローログ リソース: 作成、取得、読み取り、パッチ適用、更新、削除 フローログ リソース: 作成、取得、読み取り、パッチ適用、更新、削除 なし
フローログ ビューア ClusterRoleBinding フローログ リソース: 取得と読み取り フローログ リソース: 取得と読み取り なし
LoggingRule 作成者 ClusterRoleBinding/RoleBinding LoggingRule カスタム リソース: 作成、取得、一覧表示、モニタリング なし なし
LoggingRule 編集者 ClusterRoleBinding/RoleBinding LoggingRule カスタム リソース: 取得、一覧表示、監視、更新、削除、パッチ適用 なし なし
LoggingRule 閲覧者 ClusterRoleBinding/RoleBinding LoggingRule カスタム リソース: 読み取り なし なし
LoggingTarget Creator ClusterRoleBinding/RoleBinding LoggingTarget カスタム リソース: 作成、取得、一覧表示、モニタリング なし なし
LoggingTarget 編集者 ClusterRoleBinding/RoleBinding LoggingTarget カスタム リソース: 取得、一覧表示、監視、更新、削除、パッチ適用 なし なし
LoggingTarget 閲覧者 ClusterRoleBinding/RoleBinding LoggingTarget カスタム リソース: 読み取り なし なし
MonitoringRule エディタ ClusterRoleBinding/RoleBinding MonitoringRule カスタム リソース: 作成、読み取り、更新、削除、パッチ適用 なし なし
MonitoringRule 閲覧者 ClusterRoleBinding/RoleBinding MonitoringRule カスタム リソース: 読み取り なし なし
MonitoringTarget 編集者 ClusterRoleBinding/RoleBinding MonitoringTarget カスタム リソース: 作成、読み取り、更新、削除、パッチ適用 なし なし
MonitoringTarget 閲覧者 ClusterRoleBinding/RoleBinding MonitoringTarget カスタム リソース: 読み取り なし なし
ObservabilityPipeline 編集者 ClusterRoleBinding/RoleBinding ObservabilityPipeline リソース: 取得、読み取り、作成、更新、削除、パッチ適用 なし なし
ObservabilityPipeline 閲覧者 ClusterRoleBinding/RoleBinding ObservabilityPipeline リソース: 取得と読み取り なし なし
システム Artifact Registry anthos-creds シークレット モニター RoleBinding anthos-creds シークレット: 取得と読み取り anthos-creds シークレット: 取得と読み取り なし