Les rôles Identity and Access Management (IAM) dans l'appareil Google Distributed Cloud (GDC) air-gapped contrôlent l'accès à l'observabilité dans le cluster root-admin et les espaces de noms du projet. Les rôles prédéfinis sur le cluster root-admin et le serveur d'API de gestion accordent un accès avec privilèges minimum pour configurer des pipelines, gérer des règles d'alerte et interroger des métriques ou des journaux.
Autorisations IAM pour l'opérateur d'infrastructure
IAM sur l'appareil GDC sous air gap propose des types de rôles prédéfinis que vous pouvez obtenir aux niveaux d'accès suivants :
- Serveur d'API Management : accordez à un sujet les autorisations nécessaires pour gérer les ressources personnalisées au niveau du projet dans l'espace de noms du projet du serveur d'API Management où il souhaite utiliser les services de journalisation et de surveillance.
- Cluster root-admin : accordez à un sujet les autorisations nécessaires pour gérer les ressources d'infrastructure dans le cluster root-admin.
Si vous ne pouvez pas accéder à un service de surveillance ou de journalisation, ou l'utiliser, contactez votre administrateur pour qu'il vous accorde les rôles nécessaires. Demandez les autorisations appropriées à votre administrateur de sécurité.
Cette page décrit tous les rôles et leurs autorisations respectives pour l'utilisation des services de surveillance et de journalisation.
Rôles prédéfinis au niveau du projet
Demandez les autorisations appropriées à votre administrateur de sécurité pour configurer la journalisation et la surveillance dans l'espace de noms du projet du serveur de l'API Management où vous souhaitez gérer le cycle de vie des services d'observabilité.
Tous les rôles doivent être liés à l'espace de noms du projet du serveur d'API Management où vous utilisez le service. Pour accorder aux membres de l'équipe l'accès aux ressources, attribuez des rôles en créant des liaisons de rôles sur le serveur d'API Management à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès à un rôle, consultez Accorder et révoquer l'accès.
Pour en savoir plus, consultez Descriptions des rôles prédéfinis.
Ressources surveillées
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur de ConfigMap | configmap-creator |
Créez des objets ConfigMap dans l'espace de noms du projet. |
Role |
| Créateur d'E/S de tableau de bord | dashboard-io-creator |
Créez des ressources personnalisées Dashboard dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S du tableau de bord | dashboard-io-editor |
Modifier les ressources personnalisées Dashboard dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S de tableau de bord | dashboard-io-viewer |
Affichez les ressources personnalisées Dashboard dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'IO MonitoringRule | monitoringrule-io-creator |
Créez des ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S MonitoringRule | monitoringrule-io-editor |
Modifier les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S MonitoringRule | monitoringrule-io-viewer |
Affichez les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'IO MonitoringTarget | monitoringtarget-io-creator |
Créez des ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S MonitoringTarget | monitoringtarget-io-editor |
Modifier les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S MonitoringTarget | monitoringtarget-io-viewer |
Affichez les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'E/S ObservabilityPipeline | observabilitypipeline-io-creator |
Créez des ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S ObservabilityPipeline | observabilitypipeline-io-editor |
Modifier les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S ObservabilityPipeline | observabilitypipeline-io-viewer |
Affichez les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
ClusterRole |
| Éditeur Alertmanager Cortex du projet | project-cortex-alertmanager-editor |
Modifiez l'instance Cortex Alertmanager dans l'espace de noms du projet. | Role |
| Lecteur Alertmanager Project Cortex | project-cortex-alertmanager-viewer |
Accédez à l'instance Cortex Alertmanager dans l'espace de noms du projet. | Role |
| Lecteur Prometheus Project Cortex | project-cortex-prometheus-viewer |
Accédez à l'instance Cortex Prometheus dans l'espace de noms du projet. | Role |
| Lecteur Grafana de projet | project-grafana-viewer |
Visualisez les données d'observabilité liées au projet sur les tableaux de bord de l'instance de surveillance Grafana. | Role |
| Lecteur ServiceLevelObjective | servicelevelobjective-viewer |
Visualisez les ressources personnalisées ServiceLevelObjective dans le serveur d'API Management. |
ClusterRole |
Ressources de journalisation
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour les ressources de journalisation :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur d'E/S AuditLoggingTarget | auditloggingtarget-io-creator |
Créez des ressources personnalisées AuditLoggingTarget dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S AuditLoggingTarget | auditloggingtarget-io-editor |
Modifier les ressources personnalisées AuditLoggingTarget dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S AuditLoggingTarget | auditloggingtarget-io-viewer |
Affichez les ressources personnalisées AuditLoggingTarget dans l'espace de noms du projet. |
ClusterRole |
| Créateur de restauration de sauvegarde des journaux d'audit | audit-logs-backup-restore-creator |
Créez une configuration de job de transfert de sauvegarde et restaurez les journaux d'audit. | Role |
| Éditeur de restauration de sauvegarde des journaux d'audit | audit-logs-backup-restore-editor |
Modifier la configuration du job de transfert de sauvegarde et restaurer les journaux d'audit. | Role |
| Lecteur de bucket d'infrastructure de journaux d'audit | audit-logs-infra-bucket-viewer |
Afficher les buckets de sauvegarde des journaux d'audit de l'infrastructure. | Role |
| Créateur d'E/S FluentBit | fluentbit-io-creator |
Créez des ressources personnalisées FluentBit dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S FluentBit | fluentbit-io-editor |
Modifier les ressources personnalisées FluentBit dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S FluentBit | fluentbit-io-viewer |
Affichez les ressources personnalisées FluentBit dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'E/S LogCollector | logcollector-io-creator |
Créez des ressources personnalisées LogCollector dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S LogCollector | logcollector-io-editor |
Modifier les ressources personnalisées LogCollector dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S LogCollector | logcollector-io-viewer |
Affichez les ressources personnalisées LogCollector dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'E/S LoggingRule | loggingrule-io-creator |
Créez des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'IO LoggingRule | loggingrule-io-editor |
Modifier les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S LoggingRule | loggingrule-io-viewer |
Affichez les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
ClusterRole |
| Créateur d'IO LoggingTarget | loggingtarget-io-creator |
Créez des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
ClusterRole |
| Éditeur d'E/S LoggingTarget | loggingtarget-io-editor |
Modifier les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
ClusterRole |
| Lecteur d'E/S LoggingTarget | loggingtarget-io-viewer |
Affichez les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
ClusterRole |
Rôles prédéfinis dans le cluster root-admin
Demandez les autorisations appropriées à votre administrateur de sécurité pour utiliser les services de journalisation et de surveillance dans le cluster root-admin.
Pour accorder aux membres de l'équipe l'accès aux ressources, attribuez des rôles en créant des liaisons de rôles sur le cluster root-admin à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès à un rôle, consultez Accorder et révoquer l'accès.
Pour en savoir plus, consultez Descriptions des rôles prédéfinis.
Ressources surveillées
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur de tableau de bord | dashboard-creator |
Créez des ressources personnalisées Dashboard dans le cluster root-admin. |
ClusterRole |
| Éditeur de tableaux de bord | dashboard-editor |
Modifiez les ressources personnalisées Dashboard dans le cluster root-admin. |
ClusterRole |
| Lecteur de tableau de bord | dashboard-viewer |
Affichez les ressources personnalisées Dashboard dans le cluster root-admin. |
ClusterRole |
| Lecteur Grafana | grafana-viewer |
Visualisez les données d'observabilité sur les tableaux de bord de l'instance de surveillance Grafana dans le cluster root-admin. | ClusterRole |
| Créateur de MonitoringRule | monitoringrule-creator |
Créez des ressources personnalisées MonitoringRule dans le cluster root-admin. |
ClusterRole |
| Éditeur MonitoringRule | monitoringrule-editor |
Modifiez les ressources personnalisées MonitoringRule dans le cluster root-admin. |
ClusterRole |
| Lecteur MonitoringRule | monitoringrule-viewer |
Affichez les ressources personnalisées MonitoringRule dans le cluster root-admin. |
ClusterRole |
| Créateur de MonitoringTarget | monitoringtarget-creator |
Créez des ressources personnalisées MonitoringTarget dans le cluster root-admin. |
ClusterRole |
| Éditeur MonitoringTarget | monitoringtarget-editor |
Modifiez les ressources personnalisées MonitoringTarget dans le cluster root-admin. |
ClusterRole |
| Lecteur MonitoringTarget | monitoringtarget-viewer |
Affichez les ressources personnalisées MonitoringTarget dans le cluster root-admin. |
ClusterRole |
| Créateur ObservabilityPipeline | observabilitypipeline-creator |
Créez des ressources personnalisées ObservabilityPipeline dans le cluster root-admin. |
ClusterRole |
| Éditeur ObservabilityPipeline | observabilitypipeline-editor |
Modifiez les ressources personnalisées ObservabilityPipeline dans le cluster root-admin. |
ClusterRole |
| Lecteur ObservabilityPipeline | observabilitypipeline-viewer |
Affichez les ressources personnalisées ObservabilityPipeline dans le cluster root-admin. |
ClusterRole |
| Éditeur Alertmanager Cortex racine | root-cortex-alertmanager-editor |
Modifiez l'instance Cortex Alertmanager dans le cluster root-admin. | Role |
| Lecteur Alertmanager Cortex racine | root-cortex-alertmanager-viewer |
Accédez à l'instance Cortex Alertmanager dans le cluster root-admin. | Role |
| Lecteur Prometheus Cortex racine | root-cortex-prometheus-viewer |
Accédez à l'instance Prometheus Cortex dans le cluster root-admin. | Role |
| Lecteur ServiceLevelObjective | servicelevelobjective-viewer |
Visualisez les ressources personnalisées ServiceLevelObjective dans le cluster root-admin. |
ClusterRole |
Ressources de journalisation
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour les ressources de journalisation :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur d'AuditLoggingTarget | auditloggingtarget-creator |
Créez des ressources personnalisées AuditLoggingTarget dans le cluster root-admin. |
ClusterRole |
| Éditeur AuditLoggingTarget | auditloggingtarget-editor |
Modifiez les ressources personnalisées AuditLoggingTarget dans le cluster root-admin. |
ClusterRole |
| Lecteur AuditLoggingTarget | auditloggingtarget-viewer |
Affichez les ressources personnalisées AuditLoggingTarget dans le cluster root-admin. |
ClusterRole |
| Créateur de restauration de sauvegarde des journaux d'audit | audit-logs-backup-restore-creator |
Créez une configuration de job de transfert de sauvegarde et restaurez les journaux d'audit. | Role |
| Éditeur de restauration de sauvegarde des journaux d'audit | audit-logs-backup-restore-editor |
Modifier la configuration du job de transfert de sauvegarde et restaurer les journaux d'audit. | Role |
| Lecteur de bucket d'infrastructure de journaux d'audit | audit-logs-infra-bucket-viewer |
Afficher les buckets de sauvegarde des journaux d'audit de l'infrastructure. | Role |
| Créateur FluentBit | fluentbit-creator |
Créez des ressources personnalisées FluentBit dans le cluster root-admin. |
ClusterRole |
| Éditeur FluentBit | fluentbit-editor |
Modifiez les ressources personnalisées FluentBit dans le cluster root-admin. |
ClusterRole |
| Lecteur FluentBit | fluentbit-viewer |
Affichez les ressources personnalisées FluentBit dans le cluster root-admin. |
ClusterRole |
| Créateur de LogCollector | logcollector-creator |
Créez des ressources personnalisées LogCollector dans le cluster root-admin. |
ClusterRole |
| Éditeur LogCollector | logcollector-editor |
Modifiez les ressources personnalisées LogCollector dans le cluster root-admin. |
ClusterRole |
| Lecteur LogCollector | logcollector-viewer |
Affichez les ressources personnalisées LogCollector dans le cluster root-admin. |
ClusterRole |
| Créateur de LoggingRule | loggingrule-creator |
Créez des ressources personnalisées LoggingRule dans le cluster root-admin. |
ClusterRole |
| Éditeur LoggingRule | loggingrule-editor |
Modifiez les ressources personnalisées LoggingRule dans le cluster root-admin. |
ClusterRole |
| Lecteur de LoggingRule | loggingrule-viewer |
Affichez les ressources personnalisées LoggingRule dans le cluster root-admin. |
ClusterRole |
Autorisations IAM pour l'administrateur de plate-forme et l'opérateur d'application
IAM sur l'appareil GDC sous air gap propose les deux types de rôles PA/AO prédéfinis suivants, en fonction du niveau d'accès dont vous avez besoin :
ClusterRole: accorde à un sujet des autorisations au niveau de l'organisation. Les rôles au niveau de l'organisation vous permettent de déployer des ressources personnalisées dans tous les espaces de noms de projet du serveur de l'API Management et d'activer des services dans tous les projets de l'ensemble de votre organisation.Role: accordez des autorisations à un sujet au niveau du projet en propageant les rôles aux espaces de noms Kubernetes. Les rôles au niveau du projet vous permettent de déployer des ressources personnalisées dans l'espace de noms du projet du serveur d'API Management et d'activer des services uniquement dans l'espace de noms de votre projet.
Si vous ne pouvez pas accéder à un service de surveillance ou de journalisation, ou l'utiliser, contactez votre administrateur pour qu'il vous accorde les rôles nécessaires. Demandez les autorisations appropriées à l'administrateur IAM de votre projet pour un projet donné. Si vous avez besoin d'autorisations au niveau de l'organisation, adressez-vous plutôt à l'administrateur IAM de votre organisation.
Cette page décrit tous les rôles et leurs autorisations respectives pour l'utilisation des services de surveillance et de journalisation.
Rôles prédéfinis au niveau du projet
Demandez les autorisations appropriées à l'administrateur IAM de votre projet pour utiliser les services de journalisation et de surveillance dans un projet. Tous les rôles doivent être associés à l'espace de noms du projet dans lequel vous utilisez le service.
Pour accorder des autorisations ou recevoir un accès par rôle aux ressources au niveau du projet, consultez Accorder l'accès aux ressources du projet.
Ressources surveillées
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur de ConfigMap | configmap-creator |
Créez des objets ConfigMap dans l'espace de noms du projet. |
Role |
| Éditeur de tableaux de bord | dashboard-editor |
Modifier les ressources personnalisées Dashboard dans l'espace de noms du projet. |
Role |
| Lecteur de tableau de bord | dashboard-viewer |
Affichez les ressources personnalisées Dashboard dans l'espace de noms du projet. |
Role |
| Éditeur MonitoringRule | monitoringrule-editor |
Modifier les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
Role |
| Lecteur MonitoringRule | monitoringrule-viewer |
Affichez les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
Role |
| Éditeur MonitoringTarget | monitoringtarget-editor |
Modifier les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
Role |
| Lecteur MonitoringTarget | monitoringtarget-viewer |
Affichez les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
Role |
| Éditeur ObservabilityPipeline | observabilitypipeline-editor |
Modifier les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
Role |
| Lecteur ObservabilityPipeline | observabilitypipeline-viewer |
Affichez les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
Role |
| Éditeur Alertmanager Cortex du projet | project-cortex-alertmanager-editor |
Modifiez l'instance Cortex Alertmanager dans l'espace de noms du projet. | Role |
| Lecteur Alertmanager Project Cortex | project-cortex-alertmanager-viewer |
Accédez à l'instance Cortex Alertmanager dans l'espace de noms du projet. | Role |
| Lecteur Prometheus Project Cortex | project-cortex-prometheus-viewer |
Accédez à l'instance Cortex Prometheus dans l'espace de noms du projet. | Role |
| Lecteur Grafana de projet | project-grafana-viewer |
Visualisez les données d'observabilité liées au projet sur les tableaux de bord de l'instance de surveillance Grafana. | Role |
Ressources de journalisation
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour les ressources de journalisation :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation | Type |
|---|---|---|---|
| Créateur de bucket de restauration de la plate-forme de journaux d'audit | audit-logs-platform-restore-bucket-creator |
Créez des buckets de sauvegarde pour restaurer les journaux d'audit de la plate-forme. | Role |
| Lecteur de bucket de la plate-forme de journaux d'audit | audit-logs-platform-bucket-viewer |
Afficher les buckets de sauvegarde des journaux d'audit de la plate-forme. | Role |
| Créateur de LoggingRule | loggingrule-creator |
Créez des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
Role |
| Éditeur LoggingRule | loggingrule-editor |
Modifier les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
Role |
| Lecteur de LoggingRule | loggingrule-viewer |
Affichez les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
Role |
| Créateur de LoggingTarget | loggingtarget-creator |
Créez des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
Role |
| Éditeur LoggingTarget | loggingtarget-editor |
Modifier les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
Role |
| Lecteur LoggingTarget | loggingtarget-viewer |
Affichez les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
Role |