IAM-Rollen (Identity and Access Management) in der GDC-Appliance (Google Distributed Cloud) mit Air Gap steuern den Beobachtbarkeitszugriff im Root-Administratorcluster und in den Projekt-Namespaces. Vordefinierte Rollen im Root-Administratorcluster und auf dem Verwaltungs-API-Server gewähren Zugriff mit den geringsten Berechtigungen, um Pipelines zu konfigurieren, Benachrichtigungsregeln zu verwalten und Messwerte oder Logs abzufragen.
IAM-Berechtigungen für Infrastrukturoperator
IAM auf der GDC-Appliance mit Air Gap bietet vordefinierte Rollentypen, die Sie auf den folgenden Zugriffsebenen erhalten können:
- Management API-Server: Gewähren Sie einem Subjekt Berechtigungen zum Verwalten benutzerdefinierter Ressourcen auf Projektebene im Projekt-Namespace des Management API-Servers, auf dem Logging- und Monitoring-Dienste verwendet werden sollen.
- Root-Administratorcluster: Gewährt einem Subjekt die Berechtigung, Infrastrukturressourcen im Root-Administratorcluster zu verwalten.
Wenn Sie nicht auf einen Monitoring- oder Logging-Dienst zugreifen oder ihn verwenden können, wenden Sie sich an Ihren Administrator, um die erforderlichen Rollen zu erhalten. Fordern Sie die entsprechenden Berechtigungen von Ihrem Security Admin an.
Auf dieser Seite werden alle Rollen und die zugehörigen Berechtigungen für die Verwendung von Monitoring- und Logging-Diensten beschrieben.
Vordefinierte Rollen auf Projektebene
Fordern Sie von Ihrem Security Admin die entsprechenden Berechtigungen an, um Logging und Monitoring im Projekt-Namespace des Management API-Servers einzurichten, auf dem Sie den Lebenszyklus von Beobachtbarkeitsdiensten verwalten möchten.
Alle Rollen müssen an den Projekt-Namespace des Management API-Servers gebunden sein, auf dem Sie den Dienst verwenden. Wenn Sie Teammitgliedern Zugriff auf Ressourcen gewähren möchten, weisen Sie Rollen zu, indem Sie Rollenbindungen auf dem Management API-Server mithilfe der zugehörigen kubeconfig-Datei erstellen. Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff finden Sie unter Zugriff gewähren und entziehen.
Weitere Informationen finden Sie unter Vordefinierte Rollenbeschreibungen.
Monitoringressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für das Monitoring von Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| ConfigMap-Ersteller | configmap-creator |
Erstellen Sie ConfigMap-Objekte im Projekt-Namespace. |
Role |
| Dashboard IO Creator | dashboard-io-creator |
Erstellen Sie benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace. |
ClusterRole |
| Dashboard IO Editor | dashboard-io-editor |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| Dashboard IO Viewer | dashboard-io-viewer |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| MonitoringRule IO Creator | monitoringrule-io-creator |
Erstellen Sie benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace. |
ClusterRole |
| MonitoringRule IO Editor | monitoringrule-io-editor |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| MonitoringRule IO Viewer | monitoringrule-io-viewer |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| MonitoringTarget IO Creator | monitoringtarget-io-creator |
Erstellen Sie benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace. |
ClusterRole |
| MonitoringTarget IO Editor | monitoringtarget-io-editor |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| MonitoringTarget IO Viewer | monitoringtarget-io-viewer |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| ObservabilityPipeline IO Creator | observabilitypipeline-io-creator |
Erstellen Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace. |
ClusterRole |
| ObservabilityPipeline IO Editor | observabilitypipeline-io-editor |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| ObservabilityPipeline IO Viewer | observabilitypipeline-io-viewer |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Bearbeiten Sie die Cortex Alertmanager-Instanz im Projekt-Namespace. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex Alertmanager-Instanz zu. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex-Prometheus-Instanz zu. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Visualisieren Sie projektbezogene Beobachtbarkeitsdaten auf Dashboards der Grafana-Monitoring-Instanz. | Role |
| ServiceLevelObjective-Betrachter | servicelevelobjective-viewer |
Benutzerdefinierte ServiceLevelObjective-Ressourcen im Management API-Server visualisieren. |
ClusterRole |
Logging-Ressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für Logging-Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| AuditLoggingTarget IO Creator | auditloggingtarget-io-creator |
Erstellen Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Projekt-Namespace. |
ClusterRole |
| AuditLoggingTarget IO Editor | auditloggingtarget-io-editor |
Benutzerdefinierte AuditLoggingTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| AuditLoggingTarget IO Viewer | auditloggingtarget-io-viewer |
Benutzerdefinierte AuditLoggingTarget-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| Audit Logs Backup Restore Creator | audit-logs-backup-restore-creator |
Konfiguration für einen Sicherungsübertragungsjob erstellen und Audit-Logs wiederherstellen. | Role |
| Audit Logs Backup Restore Editor | audit-logs-backup-restore-editor |
Konfiguration des Sicherungsübertragungsjobs bearbeiten und Audit-Logs wiederherstellen. | Role |
| Audit-Log-Infrastruktur-Bucket-Betrachter | audit-logs-infra-bucket-viewer |
Sicherungs-Buckets von Infrastruktur-Audit-Logs ansehen. | Role |
| FluentBit IO Creator | fluentbit-io-creator |
Erstellen Sie benutzerdefinierte FluentBit-Ressourcen im Projekt-Namespace. |
ClusterRole |
| FluentBit IO Editor | fluentbit-io-editor |
Benutzerdefinierte FluentBit-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| FluentBit IO Viewer | fluentbit-io-viewer |
Benutzerdefinierte FluentBit-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| LogCollector IO Creator | logcollector-io-creator |
Erstellen Sie benutzerdefinierte LogCollector-Ressourcen im Projekt-Namespace. |
ClusterRole |
| LogCollector IO Editor | logcollector-io-editor |
Benutzerdefinierte LogCollector-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| LogCollector IO Viewer | logcollector-io-viewer |
Benutzerdefinierte LogCollector-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| LoggingRule IO Creator | loggingrule-io-creator |
Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. |
ClusterRole |
| LoggingRule IO Editor | loggingrule-io-editor |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| LoggingRule IO Viewer | loggingrule-io-viewer |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
| LoggingTarget IO Creator | loggingtarget-io-creator |
Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. |
ClusterRole |
| LoggingTarget IO Editor | loggingtarget-io-editor |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
ClusterRole |
| LoggingTarget IO Viewer | loggingtarget-io-viewer |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace ansehen. |
ClusterRole |
Vordefinierte Rollen im Root-Administratorcluster
Fordern Sie von Ihrem Sicherheitsadministrator die entsprechenden Berechtigungen an, um Logging- und Monitoring-Dienste im Root-Administratorcluster zu verwenden.
Wenn Sie Teammitgliedern Ressourcenzugriff gewähren möchten, weisen Sie Rollen zu, indem Sie Rollenbindungen im Root-Administratorcluster mithilfe der zugehörigen kubeconfig-Datei erstellen. Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff finden Sie unter Zugriff gewähren und widerrufen.
Weitere Informationen finden Sie unter Vordefinierte Rollenbeschreibungen.
Monitoringressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für das Monitoring von Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| Dashboard Creator | dashboard-creator |
Erstellen Sie benutzerdefinierte Dashboard-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| Dashboard-Editor | dashboard-editor |
Benutzerdefinierte Dashboard-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| Dashboard Viewer | dashboard-viewer |
Sehen Sie sich die benutzerdefinierten Dashboard-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| Grafana Viewer | grafana-viewer |
Visualisieren Sie Beobachtbarkeitsdaten auf Dashboards der Grafana-Monitoring-Instanz im Root-Administratorcluster. | ClusterRole |
| MonitoringRule Creator | monitoringrule-creator |
Erstellen Sie benutzerdefinierte MonitoringRule-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| MonitoringRule Editor | monitoringrule-editor |
Benutzerdefinierte MonitoringRule-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| MonitoringRule Viewer | monitoringrule-viewer |
Sehen Sie sich benutzerdefinierte MonitoringRule-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| MonitoringTarget Creator | monitoringtarget-creator |
Erstellen Sie benutzerdefinierte MonitoringTarget-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| MonitoringTarget Editor | monitoringtarget-editor |
Benutzerdefinierte MonitoringTarget-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Sehen Sie sich die benutzerdefinierten MonitoringTarget-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| ObservabilityPipeline Creator | observabilitypipeline-creator |
Erstellen Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| ObservabilityPipeline-Betrachter | observabilitypipeline-viewer |
Sehen Sie sich benutzerdefinierte ObservabilityPipeline-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| Root Cortex Alertmanager Editor | root-cortex-alertmanager-editor |
Bearbeiten Sie die Cortex Alertmanager-Instanz im Root-Administratorcluster. | Role |
| Root Cortex Alertmanager Viewer | root-cortex-alertmanager-viewer |
Greifen Sie im Root-Administratorcluster auf die Cortex Alertmanager-Instanz zu. | Role |
| Root Cortex Prometheus Viewer | root-cortex-prometheus-viewer |
Greifen Sie auf die Cortex-Prometheus-Instanz im Root-Administratorcluster zu. | Role |
| ServiceLevelObjective-Betrachter | servicelevelobjective-viewer |
Benutzerdefinierte ServiceLevelObjective-Ressourcen im Root-Administratorcluster visualisieren. |
ClusterRole |
Logging-Ressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für Logging-Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| AuditLoggingTarget Creator | auditloggingtarget-creator |
Erstellen Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| AuditLoggingTarget Editor | auditloggingtarget-editor |
Benutzerdefinierte AuditLoggingTarget-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| AuditLoggingTarget-Betrachter | auditloggingtarget-viewer |
Sehen Sie sich die benutzerdefinierten AuditLoggingTarget-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| Audit Logs Backup Restore Creator | audit-logs-backup-restore-creator |
Konfiguration für einen Sicherungsübertragungsjob erstellen und Audit-Logs wiederherstellen. | Role |
| Audit Logs Backup Restore Editor | audit-logs-backup-restore-editor |
Konfiguration des Sicherungsübertragungsjobs bearbeiten und Audit-Logs wiederherstellen. | Role |
| Audit-Log-Infrastruktur-Bucket-Betrachter | audit-logs-infra-bucket-viewer |
Sicherungs-Buckets von Infrastruktur-Audit-Logs ansehen. | Role |
| FluentBit Creator | fluentbit-creator |
Erstellen Sie benutzerdefinierte FluentBit-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| FluentBit-Bearbeiter | fluentbit-editor |
Benutzerdefinierte FluentBit-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| FluentBit-Betrachter | fluentbit-viewer |
Sehen Sie sich die benutzerdefinierten FluentBit-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| LogCollector Creator | logcollector-creator |
Erstellen Sie benutzerdefinierte LogCollector-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| LogCollector Editor | logcollector-editor |
Benutzerdefinierte LogCollector-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| LogCollector Viewer | logcollector-viewer |
Sehen Sie sich die benutzerdefinierten LogCollector-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
| LoggingRule Creator | loggingrule-creator |
Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Root-Administratorcluster. |
ClusterRole |
| LoggingRule-Bearbeiter | loggingrule-editor |
Benutzerdefinierte LoggingRule-Ressourcen im Root-Administratorcluster bearbeiten oder ändern. |
ClusterRole |
| LoggingRule-Betrachter | loggingrule-viewer |
Sehen Sie sich die benutzerdefinierten LoggingRule-Ressourcen im Root-Administratorcluster an. |
ClusterRole |
IAM-Berechtigungen für Plattformadministratoren und Anwendungsoperatoren
IAM auf der GDC-Appliance mit Air Gap bietet die folgenden beiden vordefinierten PA/AO-Rollentypen, je nachdem, welche Zugriffsebene Sie benötigen:
ClusterRole: Gewährt einem Subjekt Berechtigungen auf Organisationsebene. Mit Rollen auf Organisationsebene können Sie benutzerdefinierte Ressourcen in allen Projekt-Namespaces des Management API-Servers bereitstellen und Dienste in allen Projekten Ihrer gesamten Organisation aktivieren.Role: Gewährt einem Subjekt Berechtigungen auf Projektebene, indem Rollen an Kubernetes-Namespaces weitergegeben werden. Mit Rollen auf Projektebene können Sie benutzerdefinierte Ressourcen im Projekt-Namespace des Management API-Servers bereitstellen und Dienste nur in Ihrem Projekt-Namespace aktivieren.
Wenn Sie nicht auf einen Monitoring- oder Logging-Dienst zugreifen oder ihn verwenden können, wenden Sie sich an Ihren Administrator, um die erforderlichen Rollen zu erhalten. Fordern Sie die entsprechenden Berechtigungen von Ihrem Projekt-IAM-Administrator für ein bestimmtes Projekt an. Wenn Sie Berechtigungen auf Organisationsebene benötigen, wenden Sie sich stattdessen an Ihren IAM-Administrator für die Organisation.
Auf dieser Seite werden alle Rollen und die zugehörigen Berechtigungen für die Verwendung von Monitoring- und Logging-Diensten beschrieben.
Vordefinierte Rollen auf Projektebene
Fordern Sie die entsprechenden Berechtigungen von Ihrem Projekt-IAM-Administrator an, um Logging- und Monitoring-Dienste in einem Projekt zu verwenden. Alle Rollen müssen an den Projekt-Namespace gebunden sein, in dem Sie den Dienst verwenden.
Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff auf Ressourcen auf Projektebene finden Sie unter Zugriff auf Projektressourcen gewähren.
Monitoringressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für das Monitoring von Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| ConfigMap-Ersteller | configmap-creator |
Erstellen Sie ConfigMap-Objekte im Projekt-Namespace. |
Role |
| Dashboard-Editor | dashboard-editor |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| Dashboard Viewer | dashboard-viewer |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace ansehen. |
Role |
| MonitoringRule Editor | monitoringrule-editor |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| MonitoringRule Viewer | monitoringrule-viewer |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace ansehen. |
Role |
| MonitoringTarget Editor | monitoringtarget-editor |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace ansehen. |
Role |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| ObservabilityPipeline-Betrachter | observabilitypipeline-viewer |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace ansehen. |
Role |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Bearbeiten Sie die Cortex Alertmanager-Instanz im Projekt-Namespace. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex Alertmanager-Instanz zu. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex-Prometheus-Instanz zu. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Visualisieren Sie projektbezogene Beobachtbarkeitsdaten auf Dashboards der Grafana-Monitoring-Instanz. | Role |
Logging-Ressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für Logging-Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung | Typ |
|---|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
Erstellen Sie Sicherungs-Buckets, um die Plattform-Audit-Logs wiederherzustellen. | Role |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
Backup-Buckets von Plattform-Audit-Logs ansehen. | Role |
| LoggingRule Creator | loggingrule-creator |
Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. |
Role |
| LoggingRule-Bearbeiter | loggingrule-editor |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| LoggingRule-Betrachter | loggingrule-viewer |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace ansehen. |
Role |
| LoggingTarget Creator | loggingtarget-creator |
Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. |
Role |
| LoggingTarget Editor | loggingtarget-editor |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
Role |
| LoggingTarget-Betrachter | loggingtarget-viewer |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace ansehen. |
Role |