Google Distributed Cloud（GDC）エアギャップ アプライアンスの Identity and Access Management（IAM）ロールは、ルート管理者クラスタとプロジェクトの名前空間にわたるオブザーバビリティ アクセスを制御します。ルート管理者クラスタと Management API サーバーの事前定義ロールにより、パイプラインの構成、アラートルールの管理、指標やログのクエリを行うための最小権限アクセスが付与されます。
インフラストラクチャ オペレーターの IAM 権限
GDC エアギャップ アプライアンスの IAM には、次のアクセスレベルで取得できる事前定義ロールタイプが用意されています。
- Management API サーバー: ロギング サービスとモニタリング サービスを使用する Management API サーバーのプロジェクト名前空間で、プロジェクト レベルでカスタム リソースを管理する権限をサブジェクトに付与します。
- ルート管理者クラスタ: ルート管理者クラスタ内のインフラストラクチャ リソースを管理する権限をサブジェクトに付与します。
モニタリング サービスまたはロギング サービスにアクセスできない、または使用できない場合は、管理者に連絡して必要なロールを付与してもらってください。セキュリティ管理者から適切な権限をリクエストします。
このページでは、モニタリング サービスとロギング サービスを使用するためのすべてのロールとそれぞれの権限について説明します。
プロジェクト レベルの事前定義ロール
オブザーバビリティ サービスのライフサイクルを管理する Management API サーバーのプロジェクト名前空間でロギングとモニタリングを設定するために、セキュリティ管理者から適切な権限をリクエストします。
すべてのロールは、サービスを使用している Management API サーバーのプロジェクト名前空間にバインドする必要があります。チームメンバーにリソース アクセス権を付与するには、kubeconfig ファイルを使用して Management API サーバーにロール バインディングを作成し、ロールを割り当てます。権限を付与する、またはロールへのアクセス権を取得するには、アクセス権の付与と取り消しをご覧ください。
詳細については、事前定義ロールの説明をご覧ください。
モニタリング対象リソース
次の表に、モニタリング対象リソース用に各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| ConfigMap 作成者 | configmap-creator |
プロジェクトの名前空間に ConfigMap オブジェクトを作成します。 |
Role |
| Dashboard IO Creator | dashboard-io-creator |
プロジェクトの名前空間に Dashboard カスタム リソースを作成します。 |
ClusterRole |
| ダッシュボード IO 編集者 | dashboard-io-editor |
プロジェクトの名前空間で Dashboard カスタム リソースを編集または変更する。 |
ClusterRole |
| ダッシュボード IO 閲覧者 | dashboard-io-viewer |
プロジェクトの名前空間で Dashboard カスタム リソースを表示します。 |
ClusterRole |
| MonitoringRule IO 作成者 | monitoringrule-io-creator |
プロジェクトの名前空間に MonitoringRule カスタム リソースを作成します。 |
ClusterRole |
| MonitoringRule IO 編集者 | monitoringrule-io-editor |
プロジェクトの名前空間で MonitoringRule カスタム リソースを編集または変更する。 |
ClusterRole |
| MonitoringRule IO 閲覧者 | monitoringrule-io-viewer |
プロジェクトの名前空間で MonitoringRule カスタム リソースを表示します。 |
ClusterRole |
| MonitoringTarget IO 作成者 | monitoringtarget-io-creator |
プロジェクトの名前空間に MonitoringTarget カスタム リソースを作成します。 |
ClusterRole |
| MonitoringTarget IO 編集者 | monitoringtarget-io-editor |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを編集または変更する。 |
ClusterRole |
| MonitoringTarget IO 閲覧者 | monitoringtarget-io-viewer |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを表示します。 |
ClusterRole |
| ObservabilityPipeline IO 作成者 | observabilitypipeline-io-creator |
プロジェクトの名前空間に ObservabilityPipeline カスタム リソースを作成します。 |
ClusterRole |
| ObservabilityPipeline IO 編集者 | observabilitypipeline-io-editor |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを編集または変更する。 |
ClusterRole |
| ObservabilityPipeline IO 閲覧者 | observabilitypipeline-io-viewer |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを表示します。 |
ClusterRole |
| プロジェクト Cortex Alertmanager 編集者 | project-cortex-alertmanager-editor |
プロジェクトの名前空間で Cortex Alertmanager インスタンスを編集します。 | Role |
| プロジェクト Cortex Alertmanager 閲覧者 | project-cortex-alertmanager-viewer |
プロジェクトの名前空間にある Cortex Alertmanager インスタンスにアクセスします。 | Role |
| プロジェクト Cortex Prometheus 閲覧者 | project-cortex-prometheus-viewer |
プロジェクトの名前空間にある Cortex Prometheus インスタンスにアクセスします。 | Role |
| プロジェクト Grafana 閲覧者 | project-grafana-viewer |
Grafana モニタリング インスタンスのダッシュボードで、プロジェクトに関連するオブザーバビリティ データを可視化する。 | Role |
| ServiceLevelObjective 閲覧者 | servicelevelobjective-viewer |
Management API サーバーで ServiceLevelObjective カスタム リソースを可視化します。 |
ClusterRole |
ロギング リソース
次の表に、ロギング リソースの各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| AuditLoggingTarget IO Creator | auditloggingtarget-io-creator |
プロジェクトの名前空間に AuditLoggingTarget カスタム リソースを作成します。 |
ClusterRole |
| AuditLoggingTarget IO 編集者 | auditloggingtarget-io-editor |
プロジェクトの名前空間で AuditLoggingTarget カスタム リソースを編集または変更する。 |
ClusterRole |
| AuditLoggingTarget IO 閲覧者 | auditloggingtarget-io-viewer |
プロジェクトの名前空間で AuditLoggingTarget カスタム リソースを表示します。 |
ClusterRole |
| 監査ログのバックアップ復元作成者 | audit-logs-backup-restore-creator |
バックアップ転送ジョブの構成を作成し、監査ログを復元する。 | Role |
| 監査ログのバックアップ復元編集者 | audit-logs-backup-restore-editor |
バックアップ転送ジョブの構成を編集し、監査ログを復元します。 | Role |
| 監査ログ インフラストラクチャ バケット閲覧者 | audit-logs-infra-bucket-viewer |
インフラストラクチャ監査ログのバックアップ バケットを表示します。 | Role |
| FluentBit IO Creator | fluentbit-io-creator |
プロジェクトの名前空間に FluentBit カスタム リソースを作成します。 |
ClusterRole |
| FluentBit IO 編集者 | fluentbit-io-editor |
プロジェクトの名前空間で FluentBit カスタム リソースを編集または変更する。 |
ClusterRole |
| FluentBit IO 閲覧者 | fluentbit-io-viewer |
プロジェクトの名前空間で FluentBit カスタム リソースを表示します。 |
ClusterRole |
| LogCollector IO Creator | logcollector-io-creator |
プロジェクトの名前空間に LogCollector カスタム リソースを作成します。 |
ClusterRole |
| LogCollector IO 編集者 | logcollector-io-editor |
プロジェクトの名前空間で LogCollector カスタム リソースを編集または変更する。 |
ClusterRole |
| LogCollector IO Viewer | logcollector-io-viewer |
プロジェクトの名前空間で LogCollector カスタム リソースを表示します。 |
ClusterRole |
| LoggingRule IO Creator | loggingrule-io-creator |
プロジェクトの名前空間に LoggingRule カスタム リソースを作成します。 |
ClusterRole |
| LoggingRule IO 編集者 | loggingrule-io-editor |
プロジェクトの名前空間で LoggingRule カスタム リソースを編集または変更する。 |
ClusterRole |
| LoggingRule IO 閲覧者 | loggingrule-io-viewer |
プロジェクトの名前空間で LoggingRule カスタム リソースを表示します。 |
ClusterRole |
| LoggingTarget IO Creator | loggingtarget-io-creator |
プロジェクトの名前空間に LoggingTarget カスタム リソースを作成します。 |
ClusterRole |
| LoggingTarget IO 編集者 | loggingtarget-io-editor |
プロジェクトの名前空間で LoggingTarget カスタム リソースを編集または変更する。 |
ClusterRole |
| LoggingTarget IO 閲覧者 | loggingtarget-io-viewer |
プロジェクトの名前空間で LoggingTarget カスタム リソースを表示します。 |
ClusterRole |
ルート管理者クラスタの事前定義ロール
ルート管理者クラスタでロギング サービスとモニタリング サービスを使用するために、セキュリティ管理者から適切な権限をリクエストします。
チームメンバーにリソースへのアクセス権を付与するには、kubeconfig ファイルを使用してルート管理者クラスタにロール バインディングを作成し、ロールを割り当てます。権限を付与する、またはロールへのアクセス権を受け取るには、アクセス権の付与と取り消しをご覧ください。
詳細については、事前定義ロールの説明をご覧ください。
モニタリング対象リソース
次の表に、モニタリング対象リソース用に各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| Dashboard Creator | dashboard-creator |
ルート管理者クラスタに Dashboard カスタム リソースを作成します。 |
ClusterRole |
| ダッシュボード エディタ | dashboard-editor |
ルート管理者クラスタの Dashboard カスタム リソースを編集または変更します。 |
ClusterRole |
| ダッシュボード閲覧者 | dashboard-viewer |
ルート管理者クラスタの Dashboard カスタム リソースを表示します。 |
ClusterRole |
| Grafana 閲覧者 | grafana-viewer |
ルート管理者クラスタの Grafana モニタリング インスタンスのダッシュボードで、オブザーバビリティ データを可視化します。 | ClusterRole |
| MonitoringRule 作成者 | monitoringrule-creator |
ルート管理者クラスタに MonitoringRule カスタム リソースを作成します。 |
ClusterRole |
| MonitoringRule 編集者 | monitoringrule-editor |
ルート管理者クラスタの MonitoringRule カスタム リソースを編集または変更します。 |
ClusterRole |
| MonitoringRule 閲覧者 | monitoringrule-viewer |
ルート管理者クラスタの MonitoringRule カスタム リソースを表示します。 |
ClusterRole |
| MonitoringTarget 作成者 | monitoringtarget-creator |
ルート管理者クラスタに MonitoringTarget カスタム リソースを作成します。 |
ClusterRole |
| MonitoringTarget 編集者 | monitoringtarget-editor |
ルート管理者クラスタの MonitoringTarget カスタム リソースを編集または変更します。 |
ClusterRole |
| MonitoringTarget 閲覧者 | monitoringtarget-viewer |
ルート管理者クラスタの MonitoringTarget カスタム リソースを表示します。 |
ClusterRole |
| ObservabilityPipeline 作成者 | observabilitypipeline-creator |
ルート管理者クラスタに ObservabilityPipeline カスタム リソースを作成します。 |
ClusterRole |
| ObservabilityPipeline 編集者 | observabilitypipeline-editor |
ルート管理者クラスタの ObservabilityPipeline カスタム リソースを編集または変更します。 |
ClusterRole |
| ObservabilityPipeline 閲覧者 | observabilitypipeline-viewer |
ルート管理者クラスタの ObservabilityPipeline カスタム リソースを表示します。 |
ClusterRole |
| ルート Cortex Alertmanager 編集者 | root-cortex-alertmanager-editor |
ルート管理者クラスタで Cortex Alertmanager インスタンスを編集します。 | Role |
| ルート Cortex Alertmanager 閲覧者 | root-cortex-alertmanager-viewer |
ルート管理者クラスタの Cortex Alertmanager インスタンスにアクセスします。 | Role |
| ルート Cortex Prometheus 閲覧者 | root-cortex-prometheus-viewer |
ルート管理者クラスタの Cortex Prometheus インスタンスにアクセスします。 | Role |
| ServiceLevelObjective 閲覧者 | servicelevelobjective-viewer |
ルート管理者クラスタの ServiceLevelObjective カスタム リソースを可視化します。 |
ClusterRole |
ロギング リソース
次の表に、ロギング リソースの各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| AuditLoggingTarget 作成者 | auditloggingtarget-creator |
ルート管理者クラスタに AuditLoggingTarget カスタム リソースを作成します。 |
ClusterRole |
| AuditLoggingTarget 編集者 | auditloggingtarget-editor |
ルート管理者クラスタの AuditLoggingTarget カスタム リソースを編集または変更します。 |
ClusterRole |
| AuditLoggingTarget 閲覧者 | auditloggingtarget-viewer |
ルート管理者クラスタの AuditLoggingTarget カスタム リソースを表示します。 |
ClusterRole |
| 監査ログのバックアップ復元作成者 | audit-logs-backup-restore-creator |
バックアップ転送ジョブの構成を作成し、監査ログを復元する。 | Role |
| 監査ログのバックアップ復元編集者 | audit-logs-backup-restore-editor |
バックアップ転送ジョブの構成を編集し、監査ログを復元します。 | Role |
| 監査ログ インフラストラクチャ バケット閲覧者 | audit-logs-infra-bucket-viewer |
インフラストラクチャ監査ログのバックアップ バケットを表示します。 | Role |
| FluentBit Creator | fluentbit-creator |
ルート管理者クラスタに FluentBit カスタム リソースを作成します。 |
ClusterRole |
| FluentBit 編集者 | fluentbit-editor |
ルート管理者クラスタの FluentBit カスタム リソースを編集または変更します。 |
ClusterRole |
| FluentBit 閲覧者 | fluentbit-viewer |
ルート管理者クラスタの FluentBit カスタム リソースを表示します。 |
ClusterRole |
| LogCollector 作成者 | logcollector-creator |
ルート管理者クラスタに LogCollector カスタム リソースを作成します。 |
ClusterRole |
| LogCollector 編集者 | logcollector-editor |
ルート管理者クラスタの LogCollector カスタム リソースを編集または変更します。 |
ClusterRole |
| LogCollector 閲覧者 | logcollector-viewer |
ルート管理者クラスタの LogCollector カスタム リソースを表示します。 |
ClusterRole |
| LoggingRule 作成者 | loggingrule-creator |
ルート管理者クラスタに LoggingRule カスタム リソースを作成します。 |
ClusterRole |
| LoggingRule 編集者 | loggingrule-editor |
ルート管理者クラスタの LoggingRule カスタム リソースを編集または変更します。 |
ClusterRole |
| LoggingRule 閲覧者 | loggingrule-viewer |
ルート管理者クラスタの LoggingRule カスタム リソースを表示します。 |
ClusterRole |
プラットフォーム管理者（PA）とアプリケーション オペレーターの IAM 権限
GDC エアギャップ アプライアンスの IAM には、必要なアクセスレベルに応じて、次の 2 つの事前定義された PA / AO ロールタイプが用意されています。
ClusterRole: 組織レベルの権限をサブジェクトに付与します。組織レベルのロールを使用すると、Management API サーバーのすべてのプロジェクト名前空間にカスタム リソースをデプロイし、組織全体のすべてのプロジェクトでサービスを有効にできます。Role: ロールを Kubernetes Namespace に伝播することで、プロジェクト レベルでサブジェクトに権限を付与します。プロジェクト レベルのロールを使用すると、Management API サーバーのプロジェクト名前空間にカスタム リソースをデプロイし、プロジェクト名前空間でのみサービスを有効にできます。
モニタリング サービスまたはロギング サービスにアクセスできない、または使用できない場合は、管理者に連絡して必要なロールを付与してもらってください。特定のプロジェクトのプロジェクト IAM 管理者に適切な権限をリクエストします。組織レベルの権限が必要な場合は、組織の IAM 管理者に依頼してください。
このページでは、モニタリング サービスとロギング サービスを使用するためのすべてのロールとそれぞれの権限について説明します。
プロジェクト レベルの事前定義ロール
プロジェクトでロギング サービスとモニタリング サービスを使用するには、プロジェクト IAM 管理者に適切な権限をリクエストします。すべてのロールは、サービスを使用しているプロジェクトの名前空間にバインドする必要があります。
プロジェクト レベルでリソースへの権限を付与する、またはロール アクセス権を受け取るには、プロジェクト リソースへのアクセス権を付与するをご覧ください。
モニタリング対象リソース
次の表に、モニタリング対象リソース用に各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| ConfigMap 作成者 | configmap-creator |
プロジェクトの名前空間に ConfigMap オブジェクトを作成します。 |
Role |
| ダッシュボード エディタ | dashboard-editor |
プロジェクトの名前空間で Dashboard カスタム リソースを編集または変更する。 |
Role |
| ダッシュボード閲覧者 | dashboard-viewer |
プロジェクトの名前空間で Dashboard カスタム リソースを表示します。 |
Role |
| MonitoringRule 編集者 | monitoringrule-editor |
プロジェクトの名前空間で MonitoringRule カスタム リソースを編集または変更する。 |
Role |
| MonitoringRule 閲覧者 | monitoringrule-viewer |
プロジェクトの名前空間で MonitoringRule カスタム リソースを表示します。 |
Role |
| MonitoringTarget 編集者 | monitoringtarget-editor |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを編集または変更する。 |
Role |
| MonitoringTarget 閲覧者 | monitoringtarget-viewer |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを表示します。 |
Role |
| ObservabilityPipeline 編集者 | observabilitypipeline-editor |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを編集または変更する。 |
Role |
| ObservabilityPipeline 閲覧者 | observabilitypipeline-viewer |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを表示します。 |
Role |
| プロジェクト Cortex Alertmanager 編集者 | project-cortex-alertmanager-editor |
プロジェクトの名前空間で Cortex Alertmanager インスタンスを編集します。 | Role |
| プロジェクト Cortex Alertmanager 閲覧者 | project-cortex-alertmanager-viewer |
プロジェクトの名前空間にある Cortex Alertmanager インスタンスにアクセスします。 | Role |
| プロジェクト Cortex Prometheus 閲覧者 | project-cortex-prometheus-viewer |
プロジェクトの名前空間にある Cortex Prometheus インスタンスにアクセスします。 | Role |
| プロジェクト Grafana 閲覧者 | project-grafana-viewer |
Grafana モニタリング インスタンスのダッシュボードで、プロジェクトに関連するオブザーバビリティ データを可視化する。 | Role |
ロギング リソース
次の表に、ロギング リソースの各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 | 種類 |
|---|---|---|---|
| 監査ログ プラットフォーム復元バケット作成者 | audit-logs-platform-restore-bucket-creator |
プラットフォーム監査ログを復元するためのバックアップ バケットを作成します。 | Role |
| 監査ログ プラットフォーム バケット閲覧者 | audit-logs-platform-bucket-viewer |
プラットフォーム監査ログのバックアップ バケットを表示します。 | Role |
| LoggingRule 作成者 | loggingrule-creator |
プロジェクトの名前空間に LoggingRule カスタム リソースを作成します。 |
Role |
| LoggingRule 編集者 | loggingrule-editor |
プロジェクトの名前空間で LoggingRule カスタム リソースを編集または変更する。 |
Role |
| LoggingRule 閲覧者 | loggingrule-viewer |
プロジェクトの名前空間で LoggingRule カスタム リソースを表示します。 |
Role |
| LoggingTarget 作成者 | loggingtarget-creator |
プロジェクトの名前空間に LoggingTarget カスタム リソースを作成します。 |
Role |
| LoggingTarget 編集者 | loggingtarget-editor |
プロジェクトの名前空間で LoggingTarget カスタム リソースを編集または変更する。 |
Role |
| LoggingTarget 閲覧者 | loggingtarget-viewer |
プロジェクトの名前空間で LoggingTarget カスタム リソースを表示します。 |
Role |