專案的角色定義

本節的表格說明不同的預先定義角色及其權限。表格包含下列資料欄：

  • 名稱：使用者介面中顯示的角色名稱。
  • Kubernetes 資源名稱：對應 Kubernetes 自訂資源的名稱。
  • 層級：指定這個角色是否受機構或專案的範圍限制。
  • 類型：這個角色的類型。例如，可能的值包括 Role、ProjectRole、ClusterRole 或 ProjectClusterRole。
  • 繫結類型：您必須套用至這個角色的繫結類型。
  • Management API 伺服器或 Kubernetes 叢集權限：這個角色在 Management API 伺服器或 Kubernetes 叢集擁有的權限。舉例來說，可能的值包括讀取、寫入、讀取和寫入，或不適用 (N/A)。
  • 升級至：指定這個角色是否會升級至其他角色。

AO 角色、預先定義的身分與存取權角色

AO 角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
專案 IAM 管理員 project-iam-admin 是 專案 Role
AI Ocr Developer ai-ocr-developer 否 專案 Role
AI 語音開發人員 ai-speech-developer 否 專案 Role
AI 翻譯開發人員 ai-translation-developer 否 專案 Role
憑證授權單位服務管理員 certificate-authority-service-admin 否 專案 Role
憑證服務管理員 certificate-service-admin 否 專案 Role
自訂角色專案管理員 custom-role-project-admin 否 專案 Role
資訊主頁編輯器 dashboard-editor 否 專案 Role
資訊主頁檢視者 dashboard-viewer 否 專案 Role
偵錯 AuditLoggingTarget 自訂資源 auditloggingtarget-monitor 否 專案 Role
Harbor 執行個體檢視者 harbor-instance-viewer 否 專案 Role
Harbor 專案建立者 harbor-project-creator 否 專案 Role
K8S NetworkPolicy 管理員 k8s-networkpolicy-admin 否 專案 ProjectRole
負載平衡器管理員 load-balancer-admin 否 專案 Role
LoggingRule Creator loggingrule-creator 否 專案 Role
LoggingRule Editor loggingrule-editor 否 專案 Role
LoggingRule 檢視者 loggingrule-viewer 否 專案 Role
LoggingTarget Creator loggingtarget-creator 否 專案 Role
LoggingTarget 編輯器 loggingtarget-editor 否 專案 Role
LoggingTarget 檢視者 loggingtarget-viewer 否 專案 Role
代管 DNS 專案管理員 managed-dns-project-admin 否 專案 Role
代管 DNS 專案檢視者 managed-dns-project-viewer 否 專案 Role
MonitoringRule 編輯者 monitoringrule-editor 否 專案 Role
MonitoringRule 檢視者 monitoringrule-viewer 否 專案 Role
MonitoringTarget 編輯者 monitoringtarget-editor 否 專案 Role
MonitoringTarget 檢視者 monitoringtarget-viewer 否 專案 Role
命名空間管理員 namespace-admin 否 專案 ProjectRole
NAT 檢視者 nat-viewer 否 專案 ProjectRole
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 專案 Role
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 專案 Role
專案 Bucket 管理員 project-bucket-admin 否 專案 Role
專案 Bucket 物件管理員 project-bucket-object-admin 否 專案 Role
專案 Bucket 物件檢視者 project-bucket-object-viewer 否 專案 Role
Project Cortex Alertmanager 編輯者 project-cortex-alertmanager-editor 否 專案 Role
Project Cortex Alertmanager 檢視者 project-cortex-alertmanager-viewer 否 專案 Role
Project Cortex Prometheus 檢視者 project-cortex-prometheus-viewer 否 專案 Role
專案 FileShare 管理員 project-fileshare-admin 否 專案 Role
專案 Grafana 檢視者 project-grafana-viewer 否 專案 Role
專案維護政策管理員 project-mp-admin 否 專案 Role
專案維護政策繫結編輯者 project-mpb-editor 否 專案 Role
專案維護政策繫結檢視者 project-mpb-viewer 否 專案 Role
專案維護政策編輯者 project-mp-editor 否 專案 Role
專案維護政策檢視者 project-mp-viewer 否 專案 Role
專案 NetworkPolicy 管理員 project-networkpolicy-admin 否 專案 Role
專案檢視者 project-viewer 否 專案 Role
專案 VirtualMachine 管理員 project-vm-admin 否 專案 Role
專案 VirtualMachine 映像檔管理員 project-vm-image-admin 否 專案 Role
密鑰管理員 secret-admin 否 專案 Role
密鑰檢視者 secret-viewer 否 專案 Role
Spark 運算子 mkt-spark-operator 否 組織 Role
子網路專案管理員 subnet-project-admin 否 專案 Role
子網路專案運算子 subnet-project-operator 否 專案 Role
磁碟區複製管理員 app-volume-replication-admin 否 組織 ClusterRole
工作負載檢視者 workload-viewer 否 專案 ProjectRole

AO 角色、預先定義的身分和存取權角色

AO 角色
名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限 升級至
專案 IAM 管理員 RoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、ProjectClusterRole、ProjectRoleBinding 和 ProjectClusterRoleBinding：建立、讀取、更新、刪除及繫結
  • ProjectServiceAccount：建立、讀取、更新及刪除
  • 列出專案命名空間
 不適用 所有其他 AO 角色
AI Ocr Developer RoleBinding 光學字元辨識資源：讀取及寫入 不適用 不適用
AI 語音開發人員 RoleBinding 語音資源：讀取及寫入 不適用 不適用
AI 翻譯開發人員 RoleBinding 翻譯資源：讀取及寫入 不適用 不適用
憑證授權單位服務管理員 RoleBinding 憑證授權單位和憑證要求：取得、列出、監看、更新、建立、刪除及修補 不適用 不適用
憑證服務管理員 RoleBinding 憑證和憑證核發機構：取得、列出、監控、更新、建立、刪除及修補 不適用 不適用
自訂角色專案管理員 RoleBinding 自訂角色專案資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
資訊主頁編輯器 RoleBinding Dashboard 自訂資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 RoleBinding Dashboard：取得及讀取 不適用 不適用
偵錯 AuditLoggingTarget 自訂資源 RoleBinding
  • DNS 註冊：取得、列出
  • Audit logging targets：取得、列出、更新、刪除、修補
 不適用 不適用
Harbor 執行個體檢視者 RoleBinding Harbor 執行個體：讀取 不適用 不適用
Harbor 專案建立者 RoleBinding Harbor 執行個體專案：建立、取得及監看 不適用 不適用
K8S NetworkPolicy 管理員 ProjectRoleBinding 不適用 NetworkPolicy 資源：建立、讀取、取得、更新、刪除及修補 不適用
負載平衡器管理員 RoleBinding 不適用
  • Backend：取得、觀看、列出、建立、修補、更新及刪除
  • HealthCheck：取得、觀看、列出、建立、修補、更新及刪除
  • BackendService：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleExternal：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleInternal：取得、觀看、列出、建立、修補、更新及刪除
 不適用
LoggingRule Creator RoleBinding LoggingRule 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingRule Editor RoleBinding LoggingRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingRule 檢視者 RoleBinding LoggingRule 自訂資源：閱讀 不適用 不適用
LoggingTarget Creator RoleBinding LoggingTarget 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingTarget 編輯器 RoleBinding LoggingTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingTarget 檢視者 RoleBinding LoggingTarget 自訂資源：閱讀 不適用 不適用
代管 DNS 專案管理員 RoleBinding
  • 代管 DNS 區域和資源記錄集 (ManagedDNSZone、ResourceRecordSet)：建立、讀取、更新、修補及刪除
 不適用 不適用
代管 DNS 專案檢視者 RoleBinding 代管 DNS 區域和資源記錄集 (ManagedDNSZone、ResourceRecordSet)：取得、列出及監控 不適用 不適用
MonitoringRule 編輯者 RoleBinding MonitoringRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 RoleBinding MonitoringRule 自訂資源：閱讀 不適用 不適用
MonitoringTarget 編輯者 RoleBinding MonitoringTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 RoleBinding MonitoringTarget 自訂資源：閱讀 不適用 不適用
命名空間管理員 ProjectRoleBinding 不適用 所有資源：專案命名空間的讀寫權限 不適用
NAT 檢視者 ProjectRoleBinding 不適用 部署項目：取得及閱讀 不適用
ObservabilityPipeline 編輯者 RoleBinding ObservabilityPipeline 資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 RoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
專案 Bucket 管理員 RoleBinding 值區：在專案命名空間中讀取及寫入 不適用 不適用
專案 Bucket 物件管理員 RoleBinding
  • 值區：讀取
  • 物件：讀取和寫入
 不適用 不適用
專案 Bucket 物件檢視者 RoleBinding 值區和物件：讀取 不適用 不適用
Project Cortex Alertmanager 編輯者 RoleBinding Cortex 系統和 Cortex Alertmanager：讀取及寫入 不適用 不適用
Project Cortex Alertmanager 檢視者 RoleBinding Cortex 系統和 Cortex Alertmanager：請參閱 不適用 不適用
Project Cortex Prometheus 檢視者 RoleBinding Cortex 系統和 Cortex Prometheus：請參閱 不適用 不適用
專案 FileShare 管理員 RoleBinding 檔案共用、匯出群組和匯出群組繫結：建立、取得、列出、監看及刪除 不適用 不適用
專案 Grafana 檢視者 RoleBinding Grafana 系統和 Grafana：讀取和寫入 不適用 不適用
專案維護政策管理員 RoleBinding 專案維護政策資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
專案維護政策繫結編輯者 RoleBinding 專案維護政策繫結資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
專案維護政策繫結檢視者 RoleBinding 專案維護政策繫結資源：取得、列出及監看 不適用 不適用
專案維護政策編輯者 RoleBinding 專案維護政策資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
專案維護政策檢視者 RoleBinding 專案維護政策資源：取得、列出及監看 不適用 不適用
專案 NetworkPolicy 管理員 RoleBinding 專案網路政策：在專案命名空間中讀取及寫入 不適用 不適用
專案檢視者 RoleBinding 專案命名空間中的所有資源：讀取 不適用 不適用
專案 VirtualMachine 管理員 RoleBinding
  • 虛擬機器、磁碟、存取要求、外部存取、備份要求、備份、還原要求、刪除備份要求、還原和密碼重設要求：讀取、建立、更新及刪除
  • 重新啟動虛擬機器：放置
  • 虛擬機器映像檔、備份方案和備份方案範本：讀取
 不適用 不適用
專案 VirtualMachine 映像檔管理員 RoleBinding
  • VM 映像檔：請參閱
  • VM 映像檔匯入作業：讀取及寫入
  • Bucket：建立
  • 「vm-images-bucket」Bucket：讀取及寫入
 不適用 不適用
密鑰管理員 RoleBinding Kubernetes Secret：讀取、建立、更新、刪除及修補 不適用 不適用
密鑰檢視者 RoleBinding Kubernetes 密鑰：讀取 不適用 不適用
Spark 運算子 RoleBinding Spark 資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
子網路專案管理員 RoleBinding 子網路專案資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
子網路專案運算子 RoleBinding Subnet 資源：建立、取得、列出及刪除 不適用 不適用
磁碟區複製管理員 ClusterRoleBinding Volume failovers, volume relationship replicas： 建立、取得、列出、觀看、刪除 不適用 不適用
工作負載檢視者 ProjectRoleBinding 不適用
  • 專案命名空間中的 Pod 自訂資源：讀取
  • 專案命名空間中的部署作業自訂資源：讀取
 不適用

常見的預先定義身分與存取權角色

常見角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
資訊主頁編輯器 dashboard-editor 否 機構 / 專案 ClusterRole/Role
資訊主頁檢視者 dashboard-viewer 否 機構 / 專案 ClusterRole/Role
Flow Log 管理員 flowlog-admin 否 組織 ClusterRole
流量記錄檢視器 flowlog-viewer 否 組織 ClusterRole
LoggingRule Creator loggingrule-creator 否 機構 / 專案 ClusterRole/Role
LoggingRule Editor loggingrule-editor 否 機構 / 專案 ClusterRole/Role
LoggingRule 檢視者 loggingrule-viewer 否 機構 / 專案 ClusterRole/Role
LoggingTarget Creator loggingtarget-creator 否 機構 / 專案 ClusterRole/Role
LoggingTarget 編輯器 loggingtarget-editor 否 機構 / 專案 ClusterRole/Role
LoggingTarget 檢視者 loggingtarget-viewer 否 機構 / 專案 ClusterRole/Role
MonitoringRule 編輯者 monitoringrule-editor 否 機構 / 專案 ClusterRole/Role
MonitoringRule 檢視者 monitoringrule-viewer 否 機構 / 專案 ClusterRole/Role
MonitoringTarget 編輯者 monitoringtarget-editor 否 機構 / 專案 ClusterRole/Role
MonitoringTarget 檢視者 monitoringtarget-viewer 否 機構 / 專案 ClusterRole/Role
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 機構 / 專案 ClusterRole/Role
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 機構 / 專案 ClusterRole/Role
系統 Artifact Registry anthos-creds 密鑰監控 sar-anthos-creds-secret-monitor 否 組織 Role

常見的預先定義身分與存取權角色

常見角色
名稱 繫結類型 管理員叢集權限 Kubernetes 叢集權限 升級至
資訊主頁編輯器 ClusterRoleBinding/RoleBinding Dashboard 自訂資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 ClusterRoleBinding/RoleBinding Dashboard：取得及讀取 不適用 不適用
Flow Log 管理員 ClusterRoleBinding 流量記錄資源：建立、取得、讀取、修補、更新及刪除 流量記錄資源：建立、取得、讀取、修補、更新及刪除 不適用
流量記錄檢視器 ClusterRoleBinding 流量記錄資源：取得及讀取 流量記錄資源：取得及讀取 不適用
LoggingRule Creator ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingRule Editor ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingRule 檢視者 ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget Creator ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingTarget 編輯器 ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingTarget 檢視者 ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
MonitoringRule 編輯者 ClusterRoleBinding/RoleBinding MonitoringRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 ClusterRoleBinding/RoleBinding MonitoringRule 自訂資源：閱讀 不適用 不適用
MonitoringTarget 編輯者 ClusterRoleBinding/RoleBinding MonitoringTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 ClusterRoleBinding/RoleBinding MonitoringTarget 自訂資源：閱讀 不適用 不適用
ObservabilityPipeline 編輯者 ClusterRoleBinding/RoleBinding ObservabilityPipeline 資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 ClusterRoleBinding/RoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
系統 Artifact Registry anthos-creds 密鑰監控 RoleBinding anthos-creds 密鑰：取得及讀取 anthos-creds 密鑰：取得及讀取 不適用