Les rôles Identity and Access Management (IAM) dans Google Distributed Cloud (GDC) air-gapped contrôlent l'accès aux services de surveillance et de journalisation dans l'ensemble de votre organisation et de vos projets. Les rôles prédéfinis vous permettent d'accorder un accès avec le moindre privilège pour configurer des pipelines d'observabilité, gérer des règles d'alerte et interroger des métriques ou des journaux.
Attribuez des rôles au niveau de l'organisation pour gérer les ressources d'observabilité dans tous les projets sur le serveur d'API global, ou des rôles au niveau du projet pour limiter l'accès à un seul projet. Pour les administrateurs de plate-forme (AP), créez des liaisons de rôles pour les ressources d'observabilité dans l'espace de noms platform-obs sur le serveur d'API global.
Rôles prédéfinis au niveau de l'organisation
Demandez les autorisations appropriées à l'administrateur IAM de votre organisation pour configurer la journalisation et la surveillance dans une organisation, et gérer le cycle de vie d'un projet qui utilise des services d'observabilité.
Pour accorder aux membres de l'équipe l'accès aux ressources à l'échelle de l'organisation, attribuez des rôles en créant des liaisons de rôles sur le serveur d'API global à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès par rôle aux ressources au niveau de l'organisation, consultez Accorder et révoquer l'accès.
Ressources surveillées
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de PA de tableau de bord | dashboard-pa-creator |
Créez des ressources personnalisées Dashboard. |
| Éditeur de tableau de bord PA | dashboard-pa-editor |
Modifier des ressources personnalisées Dashboard. |
| Lecteur de l'analyseur de règles du tableau de bord | dashboard-pa-viewer |
Affichez les ressources personnalisées Dashboard. |
| Créateur de PA MonitoringRule | monitoringrule-pa-creator |
Créez des ressources personnalisées MonitoringRule. |
| Éditeur d'AP MonitoringRule | monitoringrule-pa-editor |
Modifier des ressources personnalisées MonitoringRule. |
| Lecteur de MonitoringRule PA | monitoringrule-pa-viewer |
Affichez les ressources personnalisées MonitoringRule. |
| Créateur de PA MonitoringTarget | monitoringtarget-pa-creator |
Créez des ressources personnalisées MonitoringTarget. |
| Éditeur MonitoringTarget PA | monitoringtarget-pa-editor |
Modifier des ressources personnalisées MonitoringTarget. |
| Lecteur MonitoringTarget PA | monitoringtarget-pa-viewer |
Affichez les ressources personnalisées MonitoringTarget. |
| Créateur d'agent principal ObservabilityPipeline | observabilitypipeline-pa-creator |
Créez des ressources personnalisées ObservabilityPipeline. |
| Éditeur d'ObservabilityPipeline PA | observabilitypipeline-pa-editor |
Modifier des ressources personnalisées ObservabilityPipeline. |
| Lecteur d'ObservabilityPipeline PA | observabilitypipeline-pa-viewer |
Affichez les ressources personnalisées ObservabilityPipeline. |
| Lecteur Grafana de l'organisation | organization-grafana-viewer |
Visualisez les données d'observabilité liées à l'organisation sur les tableaux de bord de l'instance de surveillance Grafana. |
Ressources de journalisation
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour les ressources de journalisation :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de PA LoggingRule | loggingrule-pa-creator |
Créez des ressources personnalisées LoggingRule. |
| Éditeur LoggingRule PA | loggingrule-pa-editor |
Modifier des ressources personnalisées LoggingRule. |
| Lecteur LoggingRule PA | loggingrule-pa-viewer |
Affichez les ressources personnalisées LoggingRule. |
| Créateur de PA LoggingTarget | loggingtarget-pa-creator |
Créez des ressources personnalisées LoggingTarget. |
| Éditeur d'assistant de règles LoggingTarget | loggingtarget-pa-editor |
Modifier des ressources personnalisées LoggingTarget. |
| Lecteur de PA LoggingTarget | loggingtarget-pa-viewer |
Affichez les ressources personnalisées LoggingTarget. |
Rôles prédéfinis au niveau du projet
Demandez les autorisations appropriées à votre administrateur de projet IAM pour utiliser les services de journalisation et de surveillance dans un projet. Tous les rôles doivent être associés à l'espace de noms du projet dans lequel vous utilisez le service.
Pour accorder aux membres de l'équipe l'accès aux ressources à l'échelle du projet, attribuez des rôles en créant des liaisons de rôles sur le serveur d'API global à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès par rôle aux ressources au niveau du projet, consultez Accorder et révoquer l'accès.
Ressources surveillées
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de ConfigMap | configmap-creator |
Créez des objets ConfigMap dans l'espace de noms du projet. |
| Éditeur de tableaux de bord | dashboard-editor |
Modifier les ressources personnalisées Dashboard dans l'espace de noms du projet. |
| Lecteur de tableau de bord | dashboard-viewer |
Affichez les ressources personnalisées Dashboard dans l'espace de noms du projet. |
| Éditeur MonitoringRule | monitoringrule-editor |
Modifier les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
| Lecteur MonitoringRule | monitoringrule-viewer |
Affichez les ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
| Éditeur MonitoringTarget | monitoringtarget-editor |
Modifier les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
| Lecteur MonitoringTarget | monitoringtarget-viewer |
Affichez les ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
| Éditeur ObservabilityPipeline | observabilitypipeline-editor |
Modifier les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
| Lecteur ObservabilityPipeline | observabilitypipeline-viewer |
Affichez les ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
| Éditeur Alertmanager Cortex du projet | project-cortex-alertmanager-editor |
Modifiez l'instance Cortex Alertmanager dans l'espace de noms du projet. |
| Lecteur Alertmanager Project Cortex | project-cortex-alertmanager-viewer |
Accédez à l'instance Cortex Alertmanager dans l'espace de noms du projet. |
| Lecteur Prometheus Project Cortex | project-cortex-prometheus-viewer |
Accédez à l'instance Cortex Prometheus dans l'espace de noms du projet. |
| Lecteur Grafana de projet | project-grafana-viewer |
Visualisez les données d'observabilité liées au projet sur les tableaux de bord de l'instance de surveillance Grafana. |
Ressources de journalisation
Le tableau suivant fournit des détails sur les autorisations attribuées à chaque rôle prédéfini pour les ressources de journalisation :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de bucket de restauration de la plate-forme de journaux d'audit | audit-logs-platform-restore-bucket-creator |
Créez des buckets de sauvegarde pour restaurer les journaux d'audit de la plate-forme. |
| Lecteur de bucket de la plate-forme de journaux d'audit | audit-logs-platform-bucket-viewer |
Afficher les buckets de sauvegarde des journaux d'audit de la plate-forme. |
| Surveillance de la cible de journalisation d'audit | auditloggingtarget-monitor |
Débogage de la ressource personnalisée AuditLoggingTarget. |
| Créateur de LoggingRule | loggingrule-creator |
Créez des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Éditeur LoggingRule | loggingrule-editor |
Modifier les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Lecteur de LoggingRule | loggingrule-viewer |
Affichez les ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Créateur de LoggingTarget | loggingtarget-creator |
Créez des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Éditeur LoggingTarget | loggingtarget-editor |
Modifier les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Lecteur LoggingTarget | loggingtarget-viewer |
Affichez les ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Demandeur de l'API Log Query | log-query-api-querier |
Accédez à l'API Log Query pour interroger les journaux. |
| Créateur d'organisation d'exportation SIEM | siemexport-org-creator |
Créez des ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |
| Éditeur d'exportation SIEM au niveau de l'organisation | siemexport-org-editor |
Modifier les ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |
| Lecteur d'exportation SIEM au niveau de l'organisation | siemexport-org-viewer |
Affichez les ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |