תפקידים של ניהול זהויות והרשאות גישה (IAM) ב-Google Distributed Cloud (GDC) עם air gap שולטים בגישה לתצפית במרחבי השמות של הפרויקט ובאשכול ברמת אדמין בסיסית (root). תפקידים מוגדרים מראש באשכול ברמת אדמין בסיסית (root) ובשרת ה-API לניהול מעניקים גישה עם הרשאות מינימליות להגדרת צינורות עיבוד נתונים, לניהול כללי התראות ולשליחת שאילתות לגבי מדדים או יומנים.
הרשאות IAM למפעיל התשתית
ב-IAM במכשיר GDC עם air gap יש סוגים של תפקידים מוגדרים מראש שאפשר לקבל ברמות הגישה הבאות:
- שרת Management API: נותנים לנושא הרשאות לנהל משאבים בהתאמה אישית ברמת הפרויקט במרחב השמות של הפרויקט בשרת Management API שבו רוצים להשתמש בשירותי הרישום ביומן והמעקב.
- אשכול ברמת אדמין בסיסית (root): הענקת הרשאות לנושא לניהול משאבי תשתית באשכול ברמת אדמין בסיסית (root).
אם אין לכם גישה לשירות מעקב או רישום ביומן, או שאתם לא יכולים להשתמש בהם, בקשו מהאדמין להקצות לכם את התפקידים הנדרשים. מבקשים את ההרשאות המתאימות מה-Security Admin.
בדף הזה מתוארים כל התפקידים וההרשאות שלהם לשימוש בשירותי המעקב והרישום ביומן.
תפקידים מוגדרים מראש ברמת הפרויקט
כדי להגדיר רישום ביומן ומעקב במרחב השמות של הפרויקט בשרת Management API שבו רוצים לנהל את מחזור החיים של שירותי הניטור, צריך לבקש את ההרשאות המתאימות מהאדמין לענייני אבטחה.
כל התפקידים צריכים להיות מקושרים למרחב השמות של הפרויקט בשרת Management API שבו אתם משתמשים בשירות. כדי לתת לחברי הצוות גישה למשאבים, צריך להקצות תפקידים על ידי יצירת קישורי תפקידים בשרת Management API באמצעות קובץ kubeconfig שלו. כדי לתת הרשאות או לקבל גישה לתפקיד, קראו את המאמר מתן גישה וביטול גישה.
למידע נוסף, קראו את תיאורי התפקידים המוגדרים מראש.
משאבים למעקב
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למעקב אחרי משאבים:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר ConfigMap | configmap-creator |
יוצרים אובייקטים מסוג ConfigMap במרחב השמות של הפרויקט. |
Role |
| Dashboard IO Creator | dashboard-io-creator |
יוצרים Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך מרכז הבקרה של IO | dashboard-io-editor |
עריכה או שינוי של Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של מרכז הבקרה | dashboard-io-viewer |
הצגת Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| יוצר קלט/פלט של MonitoringRule | monitoringrule-io-creator |
יוצרים MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עריכת קלט/פלט של MonitoringRule | monitoringrule-io-editor |
עריכה או שינוי של MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של MonitoringRule | monitoringrule-io-viewer |
הצגת MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| MonitoringTarget IO Creator | monitoringtarget-io-creator |
יוצרים MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך קלט/פלט של MonitoringTarget | monitoringtarget-io-editor |
עריכה או שינוי של MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של MonitoringTarget | monitoringtarget-io-viewer |
הצגת MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| יוצר של ObservabilityPipeline IO | observabilitypipeline-io-creator |
יוצרים ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עריכת קלט/פלט של ObservabilityPipeline | observabilitypipeline-io-editor |
עריכה או שינוי של ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-ObservabilityPipeline IO | observabilitypipeline-io-viewer |
הצגת ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עריכת Alertmanager ב-Project Cortex | project-cortex-alertmanager-editor |
עורכים את המכונה של Cortex Alertmanager במרחב השמות של הפרויקט. | Role |
| צפייה ב-Alertmanager של Project Cortex | project-cortex-alertmanager-viewer |
ניגשים למכונה של Cortex Alertmanager במרחב השמות של הפרויקט. | Role |
| צפייה ב-Prometheus ב-Project Cortex | project-cortex-prometheus-viewer |
ניגשים למכונה של Cortex Prometheus במרחב השמות של הפרויקט. | Role |
| צפייה ב-Grafana בפרויקט | project-grafana-viewer |
הצגה חזותית של נתוני ניטור שקשורים לפרויקט במרכזי הבקרה של מכונת הניטור של Grafana. | Role |
| צפייה ב-ServiceLevelObjective | servicelevelobjective-viewer |
הצגה חזותית של ServiceLevelObjective משאבים בהתאמה אישית בשרת Management API. |
ClusterRole |
משאבי רישום ביומן
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למשאבי רישום ביומן:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר של AuditLoggingTarget IO | auditloggingtarget-io-creator |
יוצרים AuditLoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך קלט/פלט של AuditLoggingTarget | auditloggingtarget-io-editor |
עריכה או שינוי של AuditLoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של AuditLoggingTarget | auditloggingtarget-io-viewer |
הצגת AuditLoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| יוצר גיבוי ושחזור של יומני ביקורת | audit-logs-backup-restore-creator |
יצירת הגדרה של משימת העברה לגיבוי ושחזור של יומני ביקורת. | Role |
| עריכה של גיבוי ושחזור של יומני ביקורת | audit-logs-backup-restore-editor |
עריכת ההגדרות של משימת הגיבוי והשחזור של יומני הביקורת. | Role |
| צפייה בקטגוריית התשתית של יומני הביקורת | audit-logs-infra-bucket-viewer |
הצגת קטגוריות הגיבוי של יומני הביקורת של התשתית. | Role |
| FluentBit IO Creator | fluentbit-io-creator |
יוצרים FluentBit משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך FluentBit IO | fluentbit-io-editor |
עריכה או שינוי של FluentBit משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה בקלט/פלט של FluentBit | fluentbit-io-viewer |
הצגת FluentBit משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| LogCollector IO Creator | logcollector-io-creator |
יוצרים LogCollector משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך קלט/פלט של LogCollector | logcollector-io-editor |
עריכה או שינוי של LogCollector משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של LogCollector | logcollector-io-viewer |
הצגת LogCollector משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| יוצר IO של LoggingRule | loggingrule-io-creator |
יוצרים LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך קלט/פלט של LoggingRule | loggingrule-io-editor |
עריכה או שינוי של LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של LoggingRule | loggingrule-io-viewer |
הצגת LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| יוצר קלט/פלט של LoggingTarget | loggingtarget-io-creator |
יוצרים LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| עורך קלט/פלט של LoggingTarget | loggingtarget-io-editor |
עריכה או שינוי של LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
| צפייה ב-IO של LoggingTarget | loggingtarget-io-viewer |
הצגת LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
ClusterRole |
תפקידים מוגדרים מראש באשכול ברמת אדמין בסיסית (root)
כדי להשתמש בשירותי הרישום ביומן והמעקב באשכול ברמת אדמין בסיסית (root), צריך לבקש את ההרשאות המתאימות מה-Security Admin.
כדי לתת לחברי הצוות גישה למשאבים, מקצים תפקידים על ידי יצירת קישורי תפקידים באשכול ברמת אדמין בסיסית (root) באמצעות קובץ ה-kubeconfig שלו. כדי לתת הרשאות או לקבל גישה לתפקיד, קראו את המאמר מתן גישה וביטול גישה.
למידע נוסף, קראו את תיאורי התפקידים המוגדרים מראש.
משאבים למעקב
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למעקב אחרי משאבים:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר מרכז הבקרה | dashboard-creator |
יוצרים משאבים בהתאמה אישית של Dashboard באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עורך מרכז הבקרה | dashboard-editor |
עריכה או שינוי של Dashboard משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה במרכז הבקרה | dashboard-viewer |
הצגת Dashboard משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-Grafana | grafana-viewer |
הצגת נתוני ניראות בלוחות הבקרה של מכונה למעקב של Grafana באשכול ברמת אדמין בסיסית (root). | ClusterRole |
| יוצר MonitoringRule | monitoringrule-creator |
יוצרים משאבים בהתאמה אישית של MonitoringRule באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עריכת כללי מעקב | monitoringrule-editor |
עריכה או שינוי של MonitoringRule משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-MonitoringRule | monitoringrule-viewer |
הצגת MonitoringRule משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| יוצר MonitoringTarget | monitoringtarget-creator |
יוצרים משאבים בהתאמה אישית של MonitoringTarget באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עורך MonitoringTarget | monitoringtarget-editor |
עריכה או שינוי של MonitoringTarget משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-MonitoringTarget | monitoringtarget-viewer |
הצגת MonitoringTarget משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| יוצר ObservabilityPipeline | observabilitypipeline-creator |
יוצרים משאבים בהתאמה אישית של ObservabilityPipeline באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עריכת ObservabilityPipeline | observabilitypipeline-editor |
עריכה או שינוי של ObservabilityPipeline משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-ObservabilityPipeline | observabilitypipeline-viewer |
הצגת ObservabilityPipeline משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עריכת Root Cortex Alertmanager | root-cortex-alertmanager-editor |
עורכים את המכונה של Cortex Alertmanager באשכול ברמת אדמין בסיסית (root). | Role |
| צפייה ב-Root Cortex Alertmanager | root-cortex-alertmanager-viewer |
נכנסים למכונה של Cortex Alertmanager באשכול ברמת אדמין בסיסית (root). | Role |
| צפייה ב-Prometheus ברמת הבסיס של Cortex | root-cortex-prometheus-viewer |
ניגשים למכונה של Cortex Prometheus באשכול ברמת אדמין בסיסית (root). | Role |
| צפייה ב-ServiceLevelObjective | servicelevelobjective-viewer |
הצגה חזותית של ServiceLevelObjective משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
משאבי רישום ביומן
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למשאבי רישום ביומן:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר AuditLoggingTarget | auditloggingtarget-creator |
יוצרים משאבים בהתאמה אישית של AuditLoggingTarget באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עריכת AuditLoggingTarget | auditloggingtarget-editor |
עריכה או שינוי של AuditLoggingTarget משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-AuditLoggingTarget | auditloggingtarget-viewer |
הצגת AuditLoggingTarget משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| יוצר גיבוי ושחזור של יומני ביקורת | audit-logs-backup-restore-creator |
יצירת הגדרה של משימת העברה לגיבוי ושחזור של יומני ביקורת. | Role |
| עריכה של גיבוי ושחזור של יומני ביקורת | audit-logs-backup-restore-editor |
עריכת ההגדרות של משימת הגיבוי והשחזור של יומני הביקורת. | Role |
| צפייה בקטגוריית התשתית של יומני הביקורת | audit-logs-infra-bucket-viewer |
הצגת קטגוריות הגיבוי של יומני הביקורת של התשתית. | Role |
| יוצר FluentBit | fluentbit-creator |
יוצרים משאבים בהתאמה אישית של FluentBit באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עורך FluentBit | fluentbit-editor |
עריכה או שינוי של FluentBit משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-FluentBit | fluentbit-viewer |
הצגת FluentBit משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| יוצר LogCollector | logcollector-creator |
יוצרים משאבים בהתאמה אישית של LogCollector באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עורך LogCollector | logcollector-editor |
עריכה או שינוי של LogCollector משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-LogCollector | logcollector-viewer |
הצגת LogCollector משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| יוצר LoggingRule | loggingrule-creator |
יוצרים משאבים בהתאמה אישית של LoggingRule באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| עורך LoggingRule | loggingrule-editor |
עריכה או שינוי של LoggingRule משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
| צפייה ב-LoggingRule | loggingrule-viewer |
הצגת LoggingRule משאבים בהתאמה אישית באשכול ברמת אדמין בסיסית (root). |
ClusterRole |
הרשאות IAM למנהל פלטפורמה (PA) ולמפעיל אפליקציה
ב-IAM במכשיר GDC עם air gap יש שני סוגים של תפקידים מוגדרים מראש ל-PA/AO, בהתאם לרמת הגישה שאתם צריכים:
-
ClusterRole: הענקת הרשאות לנושא ברמת הארגון. תפקידים ברמת הארגון מאפשרים לפרוס משאבים בהתאמה אישית בכל מרחבי השמות של הפרויקטים בשרת Management API, ולהפעיל שירותים בכל הפרויקטים בארגון. -
Role: הענקת הרשאות לנושא ברמת הפרויקט על ידי הפצת תפקידים למרחבי שמות של Kubernetes. תפקידים ברמת הפרויקט מאפשרים לפרוס משאבים בהתאמה אישית במרחב השמות של הפרויקט בשרת Management API, ולהפעיל שירותים רק במרחב השמות של הפרויקט.
אם אין לכם גישה לשירות מעקב או רישום ביומן, או שאתם לא יכולים להשתמש בהם, בקשו מהאדמין להקצות לכם את התפקידים הנדרשים. בקשו מהאדמין של IAM בפרויקט את ההרשאות המתאימות לפרויקט. אם אתם צריכים הרשאות ברמת הארגון, בקשו אותן מהאדמין של IAM בארגון.
בדף הזה מתוארים כל התפקידים וההרשאות שלהם לשימוש בשירותי המעקב והרישום ביומן.
תפקידים מוגדרים מראש ברמת הפרויקט
כדי להשתמש בשירותי הרישום ביומן והמעקב בפרויקט, צריך לבקש את ההרשאות המתאימות מהאדמין של IAM בפרויקט. כל התפקידים צריכים להיות מקושרים למרחב השמות של הפרויקט שבו משתמשים בשירות.
כדי לתת הרשאות או לקבל גישה לתפקידים במשאבים ברמת הפרויקט, קראו את המאמר מתן גישה למשאבי פרויקטים.
משאבים למעקב
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למעקב אחרי משאבים:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר ConfigMap | configmap-creator |
יוצרים אובייקטים מסוג ConfigMap במרחב השמות של הפרויקט. |
Role |
| עורך מרכז הבקרה | dashboard-editor |
עריכה או שינוי של Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה במרכז הבקרה | dashboard-viewer |
הצגת Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עריכת כללי מעקב | monitoringrule-editor |
עריכה או שינוי של MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה ב-MonitoringRule | monitoringrule-viewer |
הצגת MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עורך MonitoringTarget | monitoringtarget-editor |
עריכה או שינוי של MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה ב-MonitoringTarget | monitoringtarget-viewer |
הצגת MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עריכת ObservabilityPipeline | observabilitypipeline-editor |
עריכה או שינוי של ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה ב-ObservabilityPipeline | observabilitypipeline-viewer |
הצגת ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עריכת Alertmanager ב-Project Cortex | project-cortex-alertmanager-editor |
עורכים את המכונה של Cortex Alertmanager במרחב השמות של הפרויקט. | Role |
| צפייה ב-Alertmanager של Project Cortex | project-cortex-alertmanager-viewer |
ניגשים למכונה של Cortex Alertmanager במרחב השמות של הפרויקט. | Role |
| צפייה ב-Prometheus ב-Project Cortex | project-cortex-prometheus-viewer |
ניגשים למכונה של Cortex Prometheus במרחב השמות של הפרויקט. | Role |
| צפייה ב-Grafana בפרויקט | project-grafana-viewer |
הצגה חזותית של נתוני ניטור שקשורים לפרויקט במרכזי הבקרה של מכונת הניטור של Grafana. | Role |
משאבי רישום ביומן
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למשאבי רישום ביומן:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה | סוג |
|---|---|---|---|
| יוצר קטגוריות לשחזור פלטפורמה של יומני ביקורת | audit-logs-platform-restore-bucket-creator |
יוצרים קטגוריות גיבוי כדי לשחזר את יומני הביקורת של הפלטפורמה. | Role |
| צפייה בקטגוריית פלטפורמה של יומני ביקורת | audit-logs-platform-bucket-viewer |
הצגת קטגוריות גיבוי של יומני ביקורת של הפלטפורמה. | Role |
| יוצר LoggingRule | loggingrule-creator |
יוצרים LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עורך LoggingRule | loggingrule-editor |
עריכה או שינוי של LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה ב-LoggingRule | loggingrule-viewer |
הצגת LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| יוצר LoggingTarget | loggingtarget-creator |
יוצרים LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| עורך LoggingTarget | loggingtarget-editor |
עריכה או שינוי של LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |
| צפייה ב-LoggingTarget | loggingtarget-viewer |
הצגת LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
Role |