תפקידים של ניהול זהויות והרשאות גישה (IAM) ב-Google Distributed Cloud (GDC) עם air gap מאפשרים לכם לשלוט בגישה לשירותי המעקב והרישום ביומן בארגון ובפרויקטים שלכם. תפקידים מוגדרים מראש מאפשרים לכם לתת גישה עם הרשאות מינימליות כדי להגדיר צינורות עיבוד נתונים של ניצפות, לנהל כללי התראות ולשלוח שאילתות לגבי מדדים או יומנים.
אתם יכולים להקצות תפקידים ברמת הארגון כדי לנהל את משאבי התצפית בכל הפרויקטים בשרת ה-API הגלובלי, או תפקידים ברמת הפרויקט כדי להגביל את הגישה לפרויקט אחד. מנהלי פלטפורמה (PA) צריכים ליצור קישורי תפקידים למשאבי ניטור במרחב השמות platform-obs בשרת ה-API הגלובלי.
תפקידים מוגדרים מראש ברמת הארגון
כדי להגדיר רישום ביומן ומעקב בארגון ולנהל את מחזור החיים של פרויקט שמשתמש בשירותי ניראות, צריך לבקש ממנהל חשבון ארגוני ב-IAM את ההרשאות המתאימות.
כדי לתת לחברי הצוות גישה למשאבים ברמת הארגון, צריך להקצות תפקידים על ידי יצירת קישורי תפקידים בשרת ה-API הגלובלי באמצעות קובץ kubeconfig שלו. כדי לתת הרשאות או לקבל גישה לתפקידים במשאבים ברמת הארגון, קראו את המאמר מתן גישה וביטול גישה.
משאבים למעקב
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למעקב אחרי משאבים:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה |
|---|---|---|
| יוצר לוח הבקרה של PA | dashboard-pa-creator |
יצירת Dashboard משאבים בהתאמה אישית. |
| עורך מרכז הבקרה של PA | dashboard-pa-editor |
עריכה או שינוי של Dashboard משאבים בהתאמה אישית. |
| בעלי הרשאת צפייה בלוח הבקרה של PA | dashboard-pa-viewer |
הצגת Dashboard משאבים בהתאמה אישית. |
| יוצר PA של MonitoringRule | monitoringrule-pa-creator |
יצירת MonitoringRule משאבים בהתאמה אישית. |
| עורך PA של MonitoringRule | monitoringrule-pa-editor |
עריכה או שינוי של MonitoringRule משאבים בהתאמה אישית. |
| צפייה ב-MonitoringRule PA | monitoringrule-pa-viewer |
הצגת MonitoringRule משאבים בהתאמה אישית. |
| יוצר של MonitoringTarget PA | monitoringtarget-pa-creator |
יצירת MonitoringTarget משאבים בהתאמה אישית. |
| עורך/ת MonitoringTarget PA | monitoringtarget-pa-editor |
עריכה או שינוי של MonitoringTarget משאבים בהתאמה אישית. |
| צפייה ב-PA של MonitoringTarget | monitoringtarget-pa-viewer |
הצגת MonitoringTarget משאבים בהתאמה אישית. |
| יוצר PA של ObservabilityPipeline | observabilitypipeline-pa-creator |
יצירת ObservabilityPipeline משאבים בהתאמה אישית. |
| עריכת ObservabilityPipeline PA | observabilitypipeline-pa-editor |
עריכה או שינוי של ObservabilityPipeline משאבים בהתאמה אישית. |
| צפייה ב-ObservabilityPipeline PA | observabilitypipeline-pa-viewer |
הצגת ObservabilityPipeline משאבים בהתאמה אישית. |
| צפייה ב-Grafana ברמת הארגון | organization-grafana-viewer |
להציג נתוני ניטור שקשורים לארגון בלוחות הבקרה של מכונה לניטור ב-Grafana. |
משאבי רישום ביומן
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למשאבי רישום ביומן:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה |
|---|---|---|
| יוצר PA של LoggingRule | loggingrule-pa-creator |
יצירת LoggingRule משאבים בהתאמה אישית. |
| עורך LoggingRule PA | loggingrule-pa-editor |
עריכה או שינוי של LoggingRule משאבים בהתאמה אישית. |
| צפייה ב-LoggingRule PA | loggingrule-pa-viewer |
הצגת LoggingRule משאבים בהתאמה אישית. |
| יוצר PA של LoggingTarget | loggingtarget-pa-creator |
יצירת LoggingTarget משאבים בהתאמה אישית. |
| עורך PA של LoggingTarget | loggingtarget-pa-editor |
עריכה או שינוי של LoggingTarget משאבים בהתאמה אישית. |
| צפייה ב-PA של LoggingTarget | loggingtarget-pa-viewer |
הצגת LoggingTarget משאבים בהתאמה אישית. |
תפקידים מוגדרים מראש ברמת הפרויקט
כדי להשתמש בשירותי רישום ביומן ובשירותי מעקב בפרויקט, צריך לבקש את ההרשאות המתאימות מהאדמין של הפרויקט ב-IAM. כל התפקידים צריכים להיות מקושרים למרחב השמות של הפרויקט שבו משתמשים בשירות.
כדי לתת לחברי הצוות גישה למשאבים בכל הפרויקט, מקצים תפקידים על ידי יצירת קישורי תפקידים בשרת ה-API הגלובלי באמצעות קובץ ה-kubeconfig שלו. כדי לתת הרשאות או לקבל גישה לתפקידים במשאבים ברמת הפרויקט, קראו את המאמר מתן גישה וביטול גישה.
משאבים למעקב
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למעקב אחרי משאבים:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה |
|---|---|---|
| יוצר ConfigMap | configmap-creator |
יוצרים אובייקטים מסוג ConfigMap במרחב השמות של הפרויקט. |
| עורך מרכז הבקרה | dashboard-editor |
עריכה או שינוי של Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה במרכז הבקרה | dashboard-viewer |
הצגת Dashboard משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עריכת כללי מעקב | monitoringrule-editor |
עריכה או שינוי של MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה ב-MonitoringRule | monitoringrule-viewer |
הצגת MonitoringRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עורך MonitoringTarget | monitoringtarget-editor |
עריכה או שינוי של MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה ב-MonitoringTarget | monitoringtarget-viewer |
הצגת MonitoringTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עריכת ObservabilityPipeline | observabilitypipeline-editor |
עריכה או שינוי של ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה ב-ObservabilityPipeline | observabilitypipeline-viewer |
הצגת ObservabilityPipeline משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עריכת Alertmanager ב-Project Cortex | project-cortex-alertmanager-editor |
עורכים את המכונה של Cortex Alertmanager במרחב השמות של הפרויקט. |
| צפייה ב-Alertmanager של Project Cortex | project-cortex-alertmanager-viewer |
ניגשים למכונה של Cortex Alertmanager במרחב השמות של הפרויקט. |
| צפייה ב-Prometheus ב-Project Cortex | project-cortex-prometheus-viewer |
ניגשים למכונה של Cortex Prometheus במרחב השמות של הפרויקט. |
| צפייה ב-Grafana בפרויקט | project-grafana-viewer |
הצגה חזותית של נתוני ניטור שקשורים לפרויקט במרכזי הבקרה של מכונת הניטור של Grafana. |
משאבי רישום ביומן
בטבלה הבאה מפורטות ההרשאות שמוקצות לכל תפקיד מוגדר מראש למשאבי רישום ביומן:
| שם התפקיד | שם המשאב ב-Kubernetes | תיאור ההרשאה |
|---|---|---|
| יוצר קטגוריות לשחזור פלטפורמה של יומני ביקורת | audit-logs-platform-restore-bucket-creator |
יוצרים קטגוריות גיבוי כדי לשחזר את יומני הביקורת של הפלטפורמה. |
| צפייה בקטגוריית פלטפורמה של יומני ביקורת | audit-logs-platform-bucket-viewer |
הצגת קטגוריות גיבוי של יומני ביקורת של הפלטפורמה. |
| מעקב אחרי יעדים של רישום ביומן ביקורת | auditloggingtarget-monitor |
מתבצע ניפוי באגים במשאב מותאם אישית אחד (AuditLoggingTarget). |
| יוצר LoggingRule | loggingrule-creator |
יוצרים LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עורך LoggingRule | loggingrule-editor |
עריכה או שינוי של LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה ב-LoggingRule | loggingrule-viewer |
הצגת LoggingRule משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| יוצר LoggingTarget | loggingtarget-creator |
יוצרים LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עורך LoggingTarget | loggingtarget-editor |
עריכה או שינוי של LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה ב-LoggingTarget | loggingtarget-viewer |
הצגת LoggingTarget משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| מבצע שאילתות ב-Log Query API | log-query-api-querier |
כדי לשלוח שאילתות ליומנים, צריך לגשת ל-Log Query API. |
| יוצר ארגון לייצוא SIEM | siemexport-org-creator |
יוצרים SIEMOrgForwarder משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| עריכת ייצוא של SIEM ברמת הארגון | siemexport-org-editor |
עריכה או שינוי של SIEMOrgForwarder משאבים בהתאמה אישית במרחב השמות של הפרויקט. |
| צפייה בייצוא SIEM ברמת הארגון | siemexport-org-viewer |
הצגת SIEMOrgForwarder משאבים בהתאמה אישית במרחב השמות של הפרויקט. |