Peran Identity and Access Management (IAM) di peralatan Google Distributed Cloud (GDC) dengan air gap mengontrol akses kemampuan observasi di seluruh cluster root-admin dan namespace project. Peran yang telah ditetapkan pada cluster root-admin dan server API pengelolaan memberikan akses hak istimewa terendah untuk mengonfigurasi pipeline, mengelola aturan pemberitahuan, dan membuat kueri metrik atau log.
Izin IAM untuk Operator Infrastruktur
IAM di peralatan GDC dengan air gap menawarkan jenis peran yang telah ditetapkan yang dapat Anda peroleh pada tingkat akses berikut:
- Server Management API: Berikan izin kepada subjek untuk mengelola resource kustom di tingkat project di namespace project server Management API tempat mereka ingin menggunakan layanan logging dan pemantauan.
- Cluster root-admin: Memberikan izin kepada subjek untuk mengelola resource infrastruktur di cluster root-admin.
Jika Anda tidak dapat mengakses atau menggunakan layanan pemantauan atau logging, hubungi administrator Anda untuk memberi Anda peran yang diperlukan. Minta izin yang sesuai dari Security Admin Anda.
Halaman ini menjelaskan semua peran dan izin masing-masing untuk menggunakan layanan pemantauan dan logging.
Peran yang telah ditetapkan di level project
Minta izin yang sesuai dari Security Admin Anda untuk menyiapkan logging dan pemantauan di namespace project server Management API tempat Anda ingin mengelola siklus proses layanan kemampuan observasi.
Semua peran harus terikat ke namespace project server Management API tempat Anda menggunakan layanan. Untuk memberi anggota tim akses resource, tetapkan peran dengan membuat binding peran di server Management API menggunakan file kubeconfig-nya. Untuk memberikan izin atau menerima akses peran, lihat Memberikan dan mencabut akses.
Untuk mengetahui informasi selengkapnya, lihat Deskripsi peran yang telah ditetapkan.
Memantau resource
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk memantau resource:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| Pembuat ConfigMap | configmap-creator |
Membuat objek ConfigMap di namespace project. |
Role |
| Dashboard IO Creator | dashboard-io-creator |
Membuat resource kustom Dashboard di namespace project. |
ClusterRole |
| Editor IO Dasbor | dashboard-io-editor |
Mengedit atau mengubah resource kustom Dashboard di namespace project. |
ClusterRole |
| Dashboard IO Viewer | dashboard-io-viewer |
Melihat resource kustom Dashboard di namespace project. |
ClusterRole |
| MonitoringRule IO Creator | monitoringrule-io-creator |
Membuat resource kustom MonitoringRule di namespace project. |
ClusterRole |
| MonitoringRule IO Editor | monitoringrule-io-editor |
Mengedit atau mengubah resource kustom MonitoringRule di namespace project. |
ClusterRole |
| MonitoringRule IO Viewer | monitoringrule-io-viewer |
Melihat resource kustom MonitoringRule di namespace project. |
ClusterRole |
| MonitoringTarget IO Creator | monitoringtarget-io-creator |
Membuat resource kustom MonitoringTarget di namespace project. |
ClusterRole |
| MonitoringTarget IO Editor | monitoringtarget-io-editor |
Mengedit atau mengubah resource kustom MonitoringTarget di namespace project. |
ClusterRole |
| MonitoringTarget IO Viewer | monitoringtarget-io-viewer |
Melihat resource kustom MonitoringTarget di namespace project. |
ClusterRole |
| ObservabilityPipeline IO Creator | observabilitypipeline-io-creator |
Membuat resource kustom ObservabilityPipeline di namespace project. |
ClusterRole |
| Editor ObservabilityPipeline IO | observabilitypipeline-io-editor |
Mengedit atau mengubah resource kustom ObservabilityPipeline di namespace project. |
ClusterRole |
| ObservabilityPipeline IO Viewer | observabilitypipeline-io-viewer |
Melihat resource kustom ObservabilityPipeline di namespace project. |
ClusterRole |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Edit instance Cortex Alertmanager di namespace project. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Akses instance Cortex Alertmanager di namespace project. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Mengakses instance Cortex Prometheus di namespace project. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Memvisualisasikan data yang dapat diamati terkait project di dasbor instance pemantauan Grafana. | Role |
| ServiceLevelObjective Viewer | servicelevelobjective-viewer |
Memvisualisasikan resource kustom ServiceLevelObjective di server Management API. |
ClusterRole |
Resource logging
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk resource logging:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| AuditLoggingTarget IO Creator | auditloggingtarget-io-creator |
Membuat resource kustom AuditLoggingTarget di namespace project. |
ClusterRole |
| Editor IO AuditLoggingTarget | auditloggingtarget-io-editor |
Mengedit atau mengubah resource kustom AuditLoggingTarget di namespace project. |
ClusterRole |
| AuditLoggingTarget IO Viewer | auditloggingtarget-io-viewer |
Melihat resource kustom AuditLoggingTarget di namespace project. |
ClusterRole |
| Pembuat Pemulihan Cadangan Log Audit | audit-logs-backup-restore-creator |
Membuat konfigurasi tugas transfer cadangan dan memulihkan log audit. | Role |
| Editor Pemulihan Pencadangan Log Audit | audit-logs-backup-restore-editor |
Mengedit konfigurasi tugas transfer cadangan dan memulihkan log audit. | Role |
| Audit Logs Infra Bucket Viewer | audit-logs-infra-bucket-viewer |
Melihat bucket cadangan log audit infrastruktur. | Role |
| FluentBit IO Creator | fluentbit-io-creator |
Membuat resource kustom FluentBit di namespace project. |
ClusterRole |
| Editor IO FluentBit | fluentbit-io-editor |
Mengedit atau mengubah resource kustom FluentBit di namespace project. |
ClusterRole |
| FluentBit IO Viewer | fluentbit-io-viewer |
Melihat resource kustom FluentBit di namespace project. |
ClusterRole |
| LogCollector IO Creator | logcollector-io-creator |
Membuat resource kustom LogCollector di namespace project. |
ClusterRole |
| LogCollector IO Editor | logcollector-io-editor |
Mengedit atau mengubah resource kustom LogCollector di namespace project. |
ClusterRole |
| LogCollector IO Viewer | logcollector-io-viewer |
Melihat resource kustom LogCollector di namespace project. |
ClusterRole |
| LoggingRule IO Creator | loggingrule-io-creator |
Membuat resource kustom LoggingRule di namespace project. |
ClusterRole |
| Editor IO LoggingRule | loggingrule-io-editor |
Mengedit atau mengubah resource kustom LoggingRule di namespace project. |
ClusterRole |
| LoggingRule IO Viewer | loggingrule-io-viewer |
Melihat resource kustom LoggingRule di namespace project. |
ClusterRole |
| LoggingTarget IO Creator | loggingtarget-io-creator |
Membuat resource kustom LoggingTarget di namespace project. |
ClusterRole |
| Editor IO LoggingTarget | loggingtarget-io-editor |
Mengedit atau mengubah resource kustom LoggingTarget di namespace project. |
ClusterRole |
| LoggingTarget IO Viewer | loggingtarget-io-viewer |
Melihat resource kustom LoggingTarget di namespace project. |
ClusterRole |
Peran yang telah ditetapkan di cluster root-admin
Minta izin yang sesuai dari Security Admin Anda untuk menggunakan layanan logging dan pemantauan di cluster root-admin.
Untuk memberi anggota tim akses resource, tetapkan peran dengan membuat binding peran di cluster root-admin menggunakan file kubeconfig-nya. Untuk memberikan izin atau menerima akses peran, lihat Memberikan dan mencabut akses.
Untuk mengetahui informasi selengkapnya, lihat Deskripsi peran yang telah ditetapkan.
Memantau resource
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk memantau resource:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| Pembuat Dasbor | dashboard-creator |
Buat resource kustom Dashboard di cluster root-admin. |
ClusterRole |
| Editor Dasbor | dashboard-editor |
Edit atau ubah resource kustom Dashboard di cluster root-admin. |
ClusterRole |
| Pelihat Dasbor | dashboard-viewer |
Melihat resource kustom Dashboard di cluster root-admin. |
ClusterRole |
| Grafana Viewer | grafana-viewer |
Memvisualisasikan data yang dapat diamati di dasbor instance pemantauan Grafana di cluster root-admin. | ClusterRole |
| MonitoringRule Creator | monitoringrule-creator |
Buat resource kustom MonitoringRule di cluster root-admin. |
ClusterRole |
| Editor Aturan Pemantauan | monitoringrule-editor |
Edit atau ubah resource kustom MonitoringRule di cluster root-admin. |
ClusterRole |
| MonitoringRule Viewer | monitoringrule-viewer |
Melihat resource kustom MonitoringRule di cluster root-admin. |
ClusterRole |
| MonitoringTarget Creator | monitoringtarget-creator |
Buat resource kustom MonitoringTarget di cluster root-admin. |
ClusterRole |
| MonitoringTarget Editor | monitoringtarget-editor |
Edit atau ubah resource kustom MonitoringTarget di cluster root-admin. |
ClusterRole |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Melihat resource kustom MonitoringTarget di cluster root-admin. |
ClusterRole |
| ObservabilityPipeline Creator | observabilitypipeline-creator |
Buat resource kustom ObservabilityPipeline di cluster root-admin. |
ClusterRole |
| Editor ObservabilityPipeline | observabilitypipeline-editor |
Edit atau ubah resource kustom ObservabilityPipeline di cluster root-admin. |
ClusterRole |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
Melihat resource kustom ObservabilityPipeline di cluster root-admin. |
ClusterRole |
| Root Cortex Alertmanager Editor | root-cortex-alertmanager-editor |
Edit instance Cortex Alertmanager di cluster root-admin. | Role |
| Root Cortex Alertmanager Viewer | root-cortex-alertmanager-viewer |
Akses instance Cortex Alertmanager di cluster root-admin. | Role |
| Root Cortex Prometheus Viewer | root-cortex-prometheus-viewer |
Akses instance Cortex Prometheus di cluster root-admin. | Role |
| ServiceLevelObjective Viewer | servicelevelobjective-viewer |
Visualisasikan resource kustom ServiceLevelObjective di cluster root-admin. |
ClusterRole |
Resource logging
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk resource logging:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| Pembuat AuditLoggingTarget | auditloggingtarget-creator |
Buat resource kustom AuditLoggingTarget di cluster root-admin. |
ClusterRole |
| Editor AuditLoggingTarget | auditloggingtarget-editor |
Edit atau ubah resource kustom AuditLoggingTarget di cluster root-admin. |
ClusterRole |
| AuditLoggingTarget Viewer | auditloggingtarget-viewer |
Melihat resource kustom AuditLoggingTarget di cluster root-admin. |
ClusterRole |
| Pembuat Pemulihan Cadangan Log Audit | audit-logs-backup-restore-creator |
Membuat konfigurasi tugas transfer cadangan dan memulihkan log audit. | Role |
| Editor Pemulihan Pencadangan Log Audit | audit-logs-backup-restore-editor |
Mengedit konfigurasi tugas transfer cadangan dan memulihkan log audit. | Role |
| Audit Logs Infra Bucket Viewer | audit-logs-infra-bucket-viewer |
Melihat bucket cadangan log audit infrastruktur. | Role |
| Pembuat FluentBit | fluentbit-creator |
Buat resource kustom FluentBit di cluster root-admin. |
ClusterRole |
| Editor FluentBit | fluentbit-editor |
Edit atau ubah resource kustom FluentBit di cluster root-admin. |
ClusterRole |
| FluentBit Viewer | fluentbit-viewer |
Melihat resource kustom FluentBit di cluster root-admin. |
ClusterRole |
| LogCollector Creator | logcollector-creator |
Buat resource kustom LogCollector di cluster root-admin. |
ClusterRole |
| LogCollector Editor | logcollector-editor |
Edit atau ubah resource kustom LogCollector di cluster root-admin. |
ClusterRole |
| LogCollector Viewer | logcollector-viewer |
Melihat resource kustom LogCollector di cluster root-admin. |
ClusterRole |
| LoggingRule Creator | loggingrule-creator |
Buat resource kustom LoggingRule di cluster root-admin. |
ClusterRole |
| LoggingRule Editor | loggingrule-editor |
Edit atau ubah resource kustom LoggingRule di cluster root-admin. |
ClusterRole |
| LoggingRule Viewer | loggingrule-viewer |
Melihat resource kustom LoggingRule di cluster root-admin. |
ClusterRole |
Izin IAM untuk Administrator Platform (PA) dan Operator Aplikasi
IAM di GDC dengan air gap menawarkan dua jenis peran PA/AO bawaan berikut, bergantung pada tingkat akses yang Anda perlukan:
ClusterRole: Memberikan izin kepada subjek di level organisasi. Peran level organisasi memungkinkan Anda men-deploy resource kustom di semua namespace project server Management API dan mengaktifkan layanan di semua project di seluruh organisasi Anda.Role: Memberikan izin kepada subjek di level project dengan menyebarkan peran ke namespace Kubernetes. Peran tingkat project memungkinkan Anda men-deploy resource kustom ke dalam namespace project server Management API dan mengaktifkan layanan hanya di namespace project Anda.
Jika Anda tidak dapat mengakses atau menggunakan layanan pemantauan atau logging, hubungi administrator Anda untuk memberi Anda peran yang diperlukan. Minta izin yang sesuai dari Project IAM Admin Anda untuk project tertentu. Jika Anda memerlukan izin di level organisasi, tanyakan kepada Admin IAM Organisasi Anda.
Halaman ini menjelaskan semua peran dan izin masing-masing untuk menggunakan layanan pemantauan dan logging.
Peran yang telah ditetapkan di level project
Minta izin yang sesuai dari Project IAM Admin Anda untuk menggunakan layanan logging dan pemantauan dalam project. Semua peran harus terikat ke namespace project tempat Anda menggunakan layanan.
Untuk memberikan izin atau menerima akses peran ke resource di level project, lihat Memberikan akses ke resource project.
Memantau resource
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk memantau resource:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| Pembuat ConfigMap | configmap-creator |
Membuat objek ConfigMap di namespace project. |
Role |
| Editor Dasbor | dashboard-editor |
Mengedit atau mengubah resource kustom Dashboard di namespace project. |
Role |
| Pelihat Dasbor | dashboard-viewer |
Melihat resource kustom Dashboard di namespace project. |
Role |
| Editor Aturan Pemantauan | monitoringrule-editor |
Mengedit atau mengubah resource kustom MonitoringRule di namespace project. |
Role |
| MonitoringRule Viewer | monitoringrule-viewer |
Melihat resource kustom MonitoringRule di namespace project. |
Role |
| MonitoringTarget Editor | monitoringtarget-editor |
Mengedit atau mengubah resource kustom MonitoringTarget di namespace project. |
Role |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Melihat resource kustom MonitoringTarget di namespace project. |
Role |
| Editor ObservabilityPipeline | observabilitypipeline-editor |
Mengedit atau mengubah resource kustom ObservabilityPipeline di namespace project. |
Role |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
Melihat resource kustom ObservabilityPipeline di namespace project. |
Role |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Edit instance Cortex Alertmanager di namespace project. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Akses instance Cortex Alertmanager di namespace project. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Mengakses instance Cortex Prometheus di namespace project. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Memvisualisasikan data yang dapat diamati terkait project di dasbor instance pemantauan Grafana. | Role |
Resource logging
Tabel berikut memberikan detail tentang izin yang ditetapkan ke setiap peran yang telah ditetapkan untuk resource logging:
| Nama peran | Nama resource Kubernetes | Deskripsi izin | Jenis |
|---|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
Membuat bucket cadangan untuk memulihkan log audit platform. | Role |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
Melihat bucket cadangan log audit platform. | Role |
| LoggingRule Creator | loggingrule-creator |
Membuat resource kustom LoggingRule di namespace project. |
Role |
| LoggingRule Editor | loggingrule-editor |
Mengedit atau mengubah resource kustom LoggingRule di namespace project. |
Role |
| LoggingRule Viewer | loggingrule-viewer |
Melihat resource kustom LoggingRule di namespace project. |
Role |
| LoggingTarget Creator | loggingtarget-creator |
Membuat resource kustom LoggingTarget di namespace project. |
Role |
| Editor LoggingTarget | loggingtarget-editor |
Mengedit atau mengubah resource kustom LoggingTarget di namespace project. |
Role |
| LoggingTarget Viewer | loggingtarget-viewer |
Melihat resource kustom LoggingTarget di namespace project. |
Role |