Google Distributed Cloud (GDC) air-gapped propose Identity and Access Management (IAM), qui vous permet de définir de manière plus précise l'accès à des ressources Distributed Cloud spécifiques et d'empêcher tout accès indésirable à d'autres ressources. IAM fonctionne selon le principe de sécurité du moindre privilège et contrôle qui peut accéder à des ressources données à l'aide de rôles et d'autorisations IAM.
Un rôle est un ensemble d'autorisations spécifiques mappées à certaines actions sur des ressources et attribuées à des sujets individuels, tels que des utilisateurs, des groupes d'utilisateurs ou des comptes de service. Par conséquent, vous devez disposer des rôles et autorisations IAM appropriés pour utiliser les services de surveillance et de journalisation sur Distributed Cloud.
IAM sur Distributed Cloud propose les niveaux d'accès suivants pour les autorisations :
- Rôles au niveau de l'organisation : accordez à un sujet des autorisations au niveau de l'organisation pour déployer des ressources personnalisées dans tous les espaces de noms de projet du serveur d'API global et activer des services dans tous les projets de l'ensemble de votre organisation.
Rôles au niveau du projet : accordez à un sujet des autorisations au niveau du projet pour déployer des ressources personnalisées dans l'espace de noms du projet du serveur d'API global et activer des services uniquement dans l'espace de noms de votre projet.
Si vous ne parvenez pas à accéder à un service de surveillance ou de journalisation, ou à l'utiliser, contactez votre administrateur pour qu'il vous accorde les rôles nécessaires. Demandez les autorisations appropriées à votre administrateur IAM de projet pour un projet donné. Si vous avez besoin d'autorisations au niveau de l'organisation, demandez plutôt à votre administrateur IAM d'organisation.
Cette page décrit tous les rôles et leurs autorisations respectives pour l'utilisation des services de surveillance et de journalisation.
Rôles prédéfinis au niveau de l'organisation
Demandez les autorisations appropriées à votre administrateur IAM d'organisation pour configurer la journalisation et la surveillance dans une organisation, et gérer le cycle de vie d'un projet qui utilise des services d'observabilité.
Pour accorder aux membres de l'équipe un accès aux ressources à l'échelle de l'organisation, attribuez des rôles en créant des liaisons de rôle sur le serveur d'API global à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès aux rôles pour les ressources au niveau de l'organisation, consultez Accorder et révoquer l'accès.
Ressources de surveillance
Le tableau suivant fournit des informations sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de tableau de bord PA | dashboard-pa-creator |
Créer des ressources personnalisées Dashboard. |
| Éditeur de tableau de bord PA | dashboard-pa-editor |
Modifier des ressources personnalisées Dashboard. |
| Lecteur de tableau de bord PA | dashboard-pa-viewer |
Afficher des ressources personnalisées Dashboard. |
| Créateur de MonitoringRule PA | monitoringrule-pa-creator |
Créer des ressources personnalisées MonitoringRule. |
| Éditeur de MonitoringRule PA | monitoringrule-pa-editor |
Modifier des ressources personnalisées MonitoringRule. |
| Lecteur de MonitoringRule PA | monitoringrule-pa-viewer |
Afficher des ressources personnalisées MonitoringRule. |
| Créateur de MonitoringTarget PA | monitoringtarget-pa-creator |
Créer des ressources personnalisées MonitoringTarget. |
| Éditeur de MonitoringTarget PA | monitoringtarget-pa-editor |
Modifier des ressources personnalisées MonitoringTarget. |
| Lecteur de MonitoringTarget PA | monitoringtarget-pa-viewer |
Afficher des ressources personnalisées MonitoringTarget. |
| Créateur d'ObservabilityPipeline PA | observabilitypipeline-pa-creator |
Créer des ressources personnalisées ObservabilityPipeline. |
| Éditeur d'ObservabilityPipeline PA | observabilitypipeline-pa-editor |
Modifier des ressources personnalisées ObservabilityPipeline. |
| Lecteur d'ObservabilityPipeline PA | observabilitypipeline-pa-viewer |
Afficher des ressources personnalisées ObservabilityPipeline. |
| Lecteur Grafana de l'organisation | organization-grafana-viewer |
Visualiser les données d'observabilité liées à l'organisation sur les tableaux de bord de l'instance de surveillance Grafana. |
Ressources de journalisation
Le tableau suivant fournit des informations sur les autorisations attribuées à chaque rôle prédéfini pour la journalisation des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de LoggingRule PA | loggingrule-pa-creator |
Créer des ressources personnalisées LoggingRule. |
| Éditeur de LoggingRule PA | loggingrule-pa-editor |
Modifier des ressources personnalisées LoggingRule. |
| Lecteur de LoggingRule PA | loggingrule-pa-viewer |
Afficher des ressources personnalisées LoggingRule. |
| Créateur de LoggingTarget PA | loggingtarget-pa-creator |
Créer des ressources personnalisées LoggingTarget. |
| Éditeur de LoggingTarget PA | loggingtarget-pa-editor |
Modifier des ressources personnalisées LoggingTarget. |
| Lecteur de LoggingTarget PA | loggingtarget-pa-viewer |
Afficher des ressources personnalisées LoggingTarget. |
Rôles prédéfinis au niveau du projet
Demandez les autorisations appropriées à votre administrateur IAM de projet pour utiliser les services de journalisation et de surveillance dans un projet. Tous les rôles doivent être liés à l'espace de noms du projet dans lequel vous utilisez le service.
Pour accorder aux membres de l'équipe un accès aux ressources à l'échelle du projet, attribuez des rôles en créant des liaisons de rôle sur le serveur d'API global à l'aide de son fichier kubeconfig. Pour accorder des autorisations ou recevoir un accès aux rôles pour les ressources au niveau du projet, consultez Accorder et révoquer l'accès.
Ressources de surveillance
Le tableau suivant fournit des informations sur les autorisations attribuées à chaque rôle prédéfini pour la surveillance des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de ConfigMap | configmap-creator |
Créer des objets ConfigMap dans l'espace de noms du projet. |
| Éditeur de tableau de bord | dashboard-editor |
Modifier des ressources personnalisées Dashboard dans l'espace de noms du projet. |
| Lecteur de tableau de bord | dashboard-viewer |
Afficher des ressources personnalisées Dashboard dans l'espace de noms du projet. |
| Éditeur de MonitoringRule | monitoringrule-editor |
Modifier des ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
| Lecteur de MonitoringRule | monitoringrule-viewer |
Afficher des ressources personnalisées MonitoringRule dans l'espace de noms du projet. |
| Éditeur de MonitoringTarget | monitoringtarget-editor |
Modifier des ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
| Lecteur de MonitoringTarget | monitoringtarget-viewer |
Afficher des ressources personnalisées MonitoringTarget dans l'espace de noms du projet. |
| Éditeur d'ObservabilityPipeline | observabilitypipeline-editor |
Modifier des ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
| Lecteur d'ObservabilityPipeline | observabilitypipeline-viewer |
Afficher des ressources personnalisées ObservabilityPipeline dans l'espace de noms du projet. |
| Éditeur Alertmanager Cortex du projet | project-cortex-alertmanager-editor |
Modifier l'instance Alertmanager Cortex dans l'espace de noms du projet. |
| Lecteur Alertmanager Cortex du projet | project-cortex-alertmanager-viewer |
Accéder à l'instance Alertmanager Cortex dans l'espace de noms du projet. |
| Lecteur Prometheus Cortex du projet | project-cortex-prometheus-viewer |
Accéder à l'instance Prometheus Cortex dans l'espace de noms du projet. |
| Lecteur Grafana du projet | project-grafana-viewer |
Visualiser les données d'observabilité liées au projet sur les tableaux de bord de l'instance de surveillance Grafana. |
Ressources de journalisation
Le tableau suivant fournit des informations sur les autorisations attribuées à chaque rôle prédéfini pour la journalisation des ressources :
| Nom du rôle | Nom de la ressource Kubernetes | Description de l'autorisation |
|---|---|---|
| Créateur de bucket de restauration de plate-forme pour les journaux d'audit | audit-logs-platform-restore-bucket-creator |
Créer des buckets de sauvegarde pour restaurer les journaux d'audit de la plate-forme. |
| Lecteur de bucket de plate-forme pour les journaux d'audit | audit-logs-platform-bucket-viewer |
Afficher les buckets de sauvegarde des journaux d'audit de la plate-forme. |
| Moniteur de cible de journalisation d'audit | auditloggingtarget-monitor |
Déboguer la ressource personnalisée AuditLoggingTarget. |
| Créateur de LoggingRule | loggingrule-creator |
Créer des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Éditeur de LoggingRule | loggingrule-editor |
Modifier des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Lecteur de LoggingRule | loggingrule-viewer |
Afficher des ressources personnalisées LoggingRule dans l'espace de noms du projet. |
| Créateur de LoggingTarget | loggingtarget-creator |
Créer des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Éditeur de LoggingTarget | loggingtarget-editor |
Modifier des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Lecteur de LoggingTarget | loggingtarget-viewer |
Afficher des ressources personnalisées LoggingTarget dans l'espace de noms du projet. |
| Interrogeur de l'API Log Query | log-query-api-querier |
Accéder à l'API Log Query pour interroger les journaux. |
| Créateur d'exportation SIEM pour l'organisation | siemexport-org-creator |
Créer des ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |
| Éditeur d'exportation SIEM pour l'organisation | siemexport-org-editor |
Modifier des ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |
| Lecteur d'exportation SIEM pour l'organisation | siemexport-org-viewer |
Afficher des ressources personnalisées SIEMOrgForwarder dans l'espace de noms du projet. |