I ruoli di Identity and Access Management (IAM) nell'appliance Google Distributed Cloud (GDC) con air gap controllano l'accesso all'osservabilità negli spazi dei nomi del progetto e del cluster root-admin. I ruoli predefiniti sul cluster root-admin e sul server API di gestione concedono l'accesso con privilegio minimo per configurare le pipeline, gestire le regole di avviso ed eseguire query su metriche o log.
Autorizzazioni IAM per l'operatore dell'infrastruttura
IAM nell'appliance GDC con air gap offre tipi di ruoli predefiniti che puoi ottenere ai seguenti livelli di accesso:
- Server API di gestione: concedi a un soggetto le autorizzazioni per gestire le risorse personalizzate a livello di progetto nello spazio dei nomi del progetto del server API di gestione in cui vuole utilizzare i servizi di logging e monitoraggio.
- Cluster root-admin: concedi a un soggetto le autorizzazioni per gestire le risorse dell'infrastruttura nel cluster root-admin.
Se non riesci ad accedere o a utilizzare un servizio di monitoraggio o logging, contatta l'amministratore per farti concedere i ruoli necessari. Richiedi le autorizzazioni appropriate al Amministratore sicurezza.
Questa pagina descrive tutti i ruoli e le relative autorizzazioni per l'utilizzo dei servizi di monitoraggio e logging.
Ruoli predefiniti a livello di progetto
Richiedi le autorizzazioni appropriate al tuo Amministratore sicurezza per configurare il logging e il monitoraggio nello spazio dei nomi del progetto del server API di gestione in cui vuoi gestire il ciclo di vita dei servizi di osservabilità.
Tutti i ruoli devono essere associati allo spazio dei nomi del progetto del server dell'API di gestione in cui utilizzi il servizio. Per concedere ai membri del team l'accesso alle risorse, assegna i ruoli creando associazioni di ruoli sul server API di gestione utilizzando il relativo file kubeconfig. Per concedere autorizzazioni o ricevere l'accesso ai ruoli, consulta Concedi e revoca l'accesso.
Per saperne di più, consulta Descrizioni dei ruoli predefiniti.
Risorse monitorate
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per il monitoraggio delle risorse monitorate:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| ConfigMap Creator | configmap-creator |
Crea oggetti ConfigMap nello spazio dei nomi del progetto. |
Role |
| Dashboard IO Creator | dashboard-io-creator |
Crea risorse personalizzate Dashboard nello spazio dei nomi del progetto. |
ClusterRole |
| Dashboard IO Editor | dashboard-io-editor |
Modificare Dashboard risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| Dashboard IO Viewer | dashboard-io-viewer |
Visualizza le risorse personalizzate Dashboard nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringRule IO Creator | monitoringrule-io-creator |
Crea risorse personalizzate MonitoringRule nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringRule IO Editor | monitoringrule-io-editor |
Modificare MonitoringRule risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringRule IO Viewer | monitoringrule-io-viewer |
Visualizza le risorse personalizzate MonitoringRule nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringTarget IO Creator | monitoringtarget-io-creator |
Crea risorse personalizzate MonitoringTarget nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringTarget IO Editor | monitoringtarget-io-editor |
Modificare MonitoringTarget risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| MonitoringTarget IO Viewer | monitoringtarget-io-viewer |
Visualizza le risorse personalizzate MonitoringTarget nello spazio dei nomi del progetto. |
ClusterRole |
| ObservabilityPipeline IO Creator | observabilitypipeline-io-creator |
Crea risorse personalizzate ObservabilityPipeline nello spazio dei nomi del progetto. |
ClusterRole |
| ObservabilityPipeline IO Editor | observabilitypipeline-io-editor |
Modificare ObservabilityPipeline risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| ObservabilityPipeline IO Viewer | observabilitypipeline-io-viewer |
Visualizza le risorse personalizzate ObservabilityPipeline nello spazio dei nomi del progetto. |
ClusterRole |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Modifica l'istanza Cortex Alertmanager nello spazio dei nomi del progetto. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Accedi all'istanza Cortex Alertmanager nello spazio dei nomi del progetto. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Accedi all'istanza Prometheus di Cortex nello spazio dei nomi del progetto. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Visualizza i dati di osservabilità relativi al progetto nelle dashboard dell'istanza di monitoraggio di Grafana. | Role |
| ServiceLevelObjective Viewer | servicelevelobjective-viewer |
Visualizza le risorse personalizzate ServiceLevelObjective nel server API di gestione. |
ClusterRole |
Risorse di logging
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per le risorse di logging:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| AuditLoggingTarget IO Creator | auditloggingtarget-io-creator |
Crea risorse personalizzate AuditLoggingTarget nello spazio dei nomi del progetto. |
ClusterRole |
| AuditLoggingTarget IO Editor | auditloggingtarget-io-editor |
Modificare AuditLoggingTarget risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| AuditLoggingTarget IO Viewer | auditloggingtarget-io-viewer |
Visualizza le risorse personalizzate AuditLoggingTarget nello spazio dei nomi del progetto. |
ClusterRole |
| Audit Logs Backup Restore Creator | audit-logs-backup-restore-creator |
Crea una configurazione del job di trasferimento di backup e ripristina gli audit log. | Role |
| Audit Logs Backup Restore Editor | audit-logs-backup-restore-editor |
Modifica la configurazione del job di trasferimento del backup e ripristina gli audit log. | Role |
| Audit Logs Infra Bucket Viewer | audit-logs-infra-bucket-viewer |
Visualizza i bucket di backup degli audit log dell'infrastruttura. | Role |
| FluentBit IO Creator | fluentbit-io-creator |
Crea risorse personalizzate FluentBit nello spazio dei nomi del progetto. |
ClusterRole |
| FluentBit IO Editor | fluentbit-io-editor |
Modificare FluentBit risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| FluentBit IO Viewer | fluentbit-io-viewer |
Visualizza le risorse personalizzate FluentBit nello spazio dei nomi del progetto. |
ClusterRole |
| LogCollector IO Creator | logcollector-io-creator |
Crea risorse personalizzate LogCollector nello spazio dei nomi del progetto. |
ClusterRole |
| LogCollector IO Editor | logcollector-io-editor |
Modificare LogCollector risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| LogCollector IO Viewer | logcollector-io-viewer |
Visualizza le risorse personalizzate LogCollector nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingRule IO Creator | loggingrule-io-creator |
Crea risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingRule IO Editor | loggingrule-io-editor |
Modificare LoggingRule risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingRule IO Viewer | loggingrule-io-viewer |
Visualizza le risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingTarget IO Creator | loggingtarget-io-creator |
Crea risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingTarget IO Editor | loggingtarget-io-editor |
Modificare LoggingTarget risorse personalizzate nello spazio dei nomi del progetto. |
ClusterRole |
| LoggingTarget IO Viewer | loggingtarget-io-viewer |
Visualizza le risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
ClusterRole |
Ruoli predefiniti nel cluster root-admin
Richiedi all'Amministratore sicurezza le autorizzazioni appropriate per utilizzare i servizi di logging e monitoraggio nel cluster root-admin.
Per concedere ai membri del team l'accesso alle risorse, assegna i ruoli creando associazioni di ruoli nel cluster root-admin utilizzando il relativo file kubeconfig. Per concedere autorizzazioni o ricevere l'accesso ai ruoli, consulta Concedi e revoca l'accesso.
Per saperne di più, consulta Descrizioni dei ruoli predefiniti.
Risorse monitorate
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per il monitoraggio delle risorse monitorate:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| Dashboard Creator | dashboard-creator |
Crea risorse personalizzate Dashboard nel cluster root-admin. |
ClusterRole |
| Editor dashboard | dashboard-editor |
Modifica Dashboard risorse personalizzate nel cluster root-admin. |
ClusterRole |
| Dashboard Viewer | dashboard-viewer |
Visualizza Dashboard risorse personalizzate nel cluster root-admin. |
ClusterRole |
| Grafana Viewer | grafana-viewer |
Visualizza i dati di osservabilità nelle dashboard dell'istanza di monitoraggio di Grafana nel cluster root-admin. | ClusterRole |
| MonitoringRule Creator | monitoringrule-creator |
Crea risorse personalizzate MonitoringRule nel cluster root-admin. |
ClusterRole |
| MonitoringRule Editor | monitoringrule-editor |
Modifica o cambia MonitoringRule risorse personalizzate nel cluster root-admin. |
ClusterRole |
| MonitoringRule Viewer | monitoringrule-viewer |
Visualizza MonitoringRule risorse personalizzate nel cluster root-admin. |
ClusterRole |
| MonitoringTarget Creator | monitoringtarget-creator |
Crea risorse personalizzate MonitoringTarget nel cluster root-admin. |
ClusterRole |
| MonitoringTarget Editor | monitoringtarget-editor |
Modifica MonitoringTarget risorse personalizzate nel cluster root-admin. |
ClusterRole |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Visualizza MonitoringTarget risorse personalizzate nel cluster root-admin. |
ClusterRole |
| ObservabilityPipeline Creator | observabilitypipeline-creator |
Crea risorse personalizzate ObservabilityPipeline nel cluster root-admin. |
ClusterRole |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Modifica ObservabilityPipeline risorse personalizzate nel cluster root-admin. |
ClusterRole |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
Visualizza ObservabilityPipeline risorse personalizzate nel cluster root-admin. |
ClusterRole |
| Root Cortex Alertmanager Editor | root-cortex-alertmanager-editor |
Modifica l'istanza Cortex Alertmanager nel cluster root-admin. | Role |
| Root Cortex Alertmanager Viewer | root-cortex-alertmanager-viewer |
Accedi all'istanza Cortex Alertmanager nel cluster root-admin. | Role |
| Visualizzatore Prometheus Cortex radice | root-cortex-prometheus-viewer |
Accedi all'istanza Cortex Prometheus nel cluster root-admin. | Role |
| ServiceLevelObjective Viewer | servicelevelobjective-viewer |
Visualizza ServiceLevelObjective risorse personalizzate nel cluster root-admin. |
ClusterRole |
Risorse di logging
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per le risorse di logging:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| AuditLoggingTarget Creator | auditloggingtarget-creator |
Crea risorse personalizzate AuditLoggingTarget nel cluster root-admin. |
ClusterRole |
| AuditLoggingTarget Editor | auditloggingtarget-editor |
Modifica AuditLoggingTarget risorse personalizzate nel cluster root-admin. |
ClusterRole |
| Visualizzatore AuditLoggingTarget | auditloggingtarget-viewer |
Visualizza AuditLoggingTarget risorse personalizzate nel cluster root-admin. |
ClusterRole |
| Audit Logs Backup Restore Creator | audit-logs-backup-restore-creator |
Crea una configurazione del job di trasferimento di backup e ripristina gli audit log. | Role |
| Audit Logs Backup Restore Editor | audit-logs-backup-restore-editor |
Modifica la configurazione del job di trasferimento del backup e ripristina gli audit log. | Role |
| Audit Logs Infra Bucket Viewer | audit-logs-infra-bucket-viewer |
Visualizza i bucket di backup degli audit log dell'infrastruttura. | Role |
| Creatore FluentBit | fluentbit-creator |
Crea risorse personalizzate FluentBit nel cluster root-admin. |
ClusterRole |
| FluentBit Editor | fluentbit-editor |
Modifica FluentBit risorse personalizzate nel cluster root-admin. |
ClusterRole |
| FluentBit Viewer | fluentbit-viewer |
Visualizza FluentBit risorse personalizzate nel cluster root-admin. |
ClusterRole |
| LogCollector Creator | logcollector-creator |
Crea risorse personalizzate LogCollector nel cluster root-admin. |
ClusterRole |
| LogCollector Editor | logcollector-editor |
Modifica LogCollector risorse personalizzate nel cluster root-admin. |
ClusterRole |
| LogCollector Viewer | logcollector-viewer |
Visualizza LogCollector risorse personalizzate nel cluster root-admin. |
ClusterRole |
| LoggingRule Creator | loggingrule-creator |
Crea risorse personalizzate LoggingRule nel cluster root-admin. |
ClusterRole |
| LoggingRule Editor | loggingrule-editor |
Modifica LoggingRule risorse personalizzate nel cluster root-admin. |
ClusterRole |
| LoggingRule Viewer | loggingrule-viewer |
Visualizza LoggingRule risorse personalizzate nel cluster root-admin. |
ClusterRole |
Autorizzazioni IAM per l'amministratore della piattaforma (PA) e l'operatore dell'applicazione
IAM sull'appliance GDC con air gap offre i seguenti due tipi di ruoli PA/AO predefiniti, a seconda del livello di accesso necessario:
ClusterRole: concedi a un soggetto le autorizzazioni a livello di organizzazione. I ruoli a livello di organizzazione consentono di eseguire il deployment di risorse personalizzate in tutti gli spazi dei nomi dei progetti del server API di gestione e di abilitare i servizi in tutti i progetti dell'intera organizzazione.Role: concedi a un soggetto le autorizzazioni a livello di progetto propagando i ruoli agli spazi dei nomi Kubernetes. I ruoli a livello di progetto ti consentono di eseguire il deployment di risorse personalizzate nello spazio dei nomi del progetto del server API di gestione e di abilitare i servizi solo nello spazio dei nomi del progetto.
Se non riesci ad accedere o a utilizzare un servizio di monitoraggio o logging, contatta l'amministratore per farti concedere i ruoli necessari. Richiedi le autorizzazioni appropriate all'amministratore IAM del progetto per un determinato progetto. Se hai bisogno di autorizzazioni a livello di organizzazione, chiedi all'amministratore IAM dell'organizzazione.
Questa pagina descrive tutti i ruoli e le relative autorizzazioni per l'utilizzo dei servizi di monitoraggio e logging.
Ruoli predefiniti a livello di progetto
Richiedi all'amministratore IAM del progetto le autorizzazioni appropriate per utilizzare i servizi di logging e monitoraggio in un progetto. Tutti i ruoli devono essere associati allo spazio dei nomi del progetto in cui utilizzi il servizio.
Per concedere autorizzazioni o ricevere l'accesso ai ruoli per le risorse a livello di progetto, consulta Concedi l'accesso alle risorse del progetto.
Risorse monitorate
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per il monitoraggio delle risorse monitorate:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| ConfigMap Creator | configmap-creator |
Crea oggetti ConfigMap nello spazio dei nomi del progetto. |
Role |
| Editor dashboard | dashboard-editor |
Modificare Dashboard risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| Dashboard Viewer | dashboard-viewer |
Visualizza le risorse personalizzate Dashboard nello spazio dei nomi del progetto. |
Role |
| MonitoringRule Editor | monitoringrule-editor |
Modificare MonitoringRule risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| MonitoringRule Viewer | monitoringrule-viewer |
Visualizza le risorse personalizzate MonitoringRule nello spazio dei nomi del progetto. |
Role |
| MonitoringTarget Editor | monitoringtarget-editor |
Modificare MonitoringTarget risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Visualizza le risorse personalizzate MonitoringTarget nello spazio dei nomi del progetto. |
Role |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Modificare ObservabilityPipeline risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
Visualizza le risorse personalizzate ObservabilityPipeline nello spazio dei nomi del progetto. |
Role |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Modifica l'istanza Cortex Alertmanager nello spazio dei nomi del progetto. | Role |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Accedi all'istanza Cortex Alertmanager nello spazio dei nomi del progetto. | Role |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Accedi all'istanza Prometheus di Cortex nello spazio dei nomi del progetto. | Role |
| Project Grafana Viewer | project-grafana-viewer |
Visualizza i dati di osservabilità relativi al progetto nelle dashboard dell'istanza di monitoraggio di Grafana. | Role |
Risorse di logging
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per le risorse di logging:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione | Tipo |
|---|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
Crea bucket di backup per ripristinare gli audit log della piattaforma. | Role |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
Visualizza i bucket di backup degli audit log della piattaforma. | Role |
| LoggingRule Creator | loggingrule-creator |
Crea risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
Role |
| LoggingRule Editor | loggingrule-editor |
Modificare LoggingRule risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| LoggingRule Viewer | loggingrule-viewer |
Visualizza le risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
Role |
| LoggingTarget Creator | loggingtarget-creator |
Crea risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
Role |
| LoggingTarget Editor | loggingtarget-editor |
Modificare LoggingTarget risorse personalizzate nello spazio dei nomi del progetto. |
Role |
| LoggingTarget Viewer | loggingtarget-viewer |
Visualizza le risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
Role |