Google Distributed Cloud（GDC）エアギャップの Identity and Access Management（IAM）ロールは、組織とプロジェクト全体のモニタリング サービスとロギング サービスへのアクセスを制御します。事前定義ロールを使用すると、オブザーバビリティ パイプラインの構成、アラートルールの管理、指標やログのクエリを行うための最小権限アクセスを付与できます。
グローバル API サーバー上のすべてのプロジェクトでオブザーバビリティ リソースを管理するには、組織レベルのロールを割り当てます。1 つのプロジェクトにアクセスを制限するには、プロジェクト レベルのロールを割り当てます。プラットフォーム管理者（PA）の場合は、グローバル API サーバーの platform-obs Namespace にオブザーバビリティ リソースのロール バインディングを作成します。
組織レベルの事前定義ロール
組織でロギングとモニタリングを設定し、オブザーバビリティ サービスを使用するプロジェクトのライフサイクルを管理するために、IAM 組織管理者から適切な権限をリクエストします。
チームメンバーに組織全体のリソース アクセス権を付与するには、kubeconfig ファイルを使用してグローバル API サーバーにロール バインディングを作成し、ロールを割り当てます。組織レベルでリソースへの権限を付与する、またはロールアクセス権を受け取るには、アクセス権の付与と取り消しをご覧ください。
モニタリング対象リソース
次の表に、モニタリング対象リソース用に各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 |
|---|---|---|
| Dashboard PA Creator | dashboard-pa-creator |
Dashboard カスタム リソースを作成します。 |
| ダッシュボード PA 編集者 | dashboard-pa-editor |
Dashboard カスタム リソースを編集または変更する。 |
| ダッシュボード PA 閲覧者 | dashboard-pa-viewer |
Dashboard カスタム リソースを表示します。 |
| MonitoringRule PA 作成者 | monitoringrule-pa-creator |
MonitoringRule カスタム リソースを作成します。 |
| MonitoringRule PA 編集者 | monitoringrule-pa-editor |
MonitoringRule カスタム リソースを編集または変更する。 |
| MonitoringRule PA 閲覧者 | monitoringrule-pa-viewer |
MonitoringRule カスタム リソースを表示します。 |
| MonitoringTarget PA 作成者 | monitoringtarget-pa-creator |
MonitoringTarget カスタム リソースを作成します。 |
| MonitoringTarget PA 編集者 | monitoringtarget-pa-editor |
MonitoringTarget カスタム リソースを編集または変更する。 |
| MonitoringTarget PA 閲覧者 | monitoringtarget-pa-viewer |
MonitoringTarget カスタム リソースを表示します。 |
| ObservabilityPipeline PA 作成者 | observabilitypipeline-pa-creator |
ObservabilityPipeline カスタム リソースを作成します。 |
| ObservabilityPipeline PA 編集者 | observabilitypipeline-pa-editor |
ObservabilityPipeline カスタム リソースを編集または変更する。 |
| ObservabilityPipeline PA 閲覧者 | observabilitypipeline-pa-viewer |
ObservabilityPipeline カスタム リソースを表示します。 |
| 組織の Grafana 閲覧者 | organization-grafana-viewer |
Grafana モニタリング インスタンスのダッシュボードで、組織に関連するオブザーバビリティ データを可視化する。 |
ロギング リソース
次の表に、ロギング リソースの各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 |
|---|---|---|
| LoggingRule PA 作成者 | loggingrule-pa-creator |
LoggingRule カスタム リソースを作成します。 |
| LoggingRule PA 編集者 | loggingrule-pa-editor |
LoggingRule カスタム リソースを編集または変更する。 |
| LoggingRule PA 閲覧者 | loggingrule-pa-viewer |
LoggingRule カスタム リソースを表示します。 |
| LoggingTarget PA Creator | loggingtarget-pa-creator |
LoggingTarget カスタム リソースを作成します。 |
| LoggingTarget PA 編集者 | loggingtarget-pa-editor |
LoggingTarget カスタム リソースを編集または変更する。 |
| LoggingTarget PA 閲覧者 | loggingtarget-pa-viewer |
LoggingTarget カスタム リソースを表示します。 |
プロジェクト レベルの事前定義ロール
プロジェクトでロギング サービスとモニタリング サービスを使用するには、IAM プロジェクト管理者から適切な権限をリクエストします。すべてのロールは、サービスを使用しているプロジェクトの名前空間にバインドする必要があります。
チームメンバーにプロジェクト全体のリソース アクセス権を付与するには、kubeconfig ファイルを使用してグローバル API サーバーにロール バインディングを作成し、ロールを割り当てます。プロジェクト レベルでリソースへの権限を付与する、またはロールアクセス権を受け取るには、アクセス権の付与と取り消しをご覧ください。
モニタリング対象リソース
次の表に、モニタリング対象リソース用に各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 |
|---|---|---|
| ConfigMap 作成者 | configmap-creator |
プロジェクトの名前空間に ConfigMap オブジェクトを作成します。 |
| ダッシュボード エディタ | dashboard-editor |
プロジェクトの名前空間で Dashboard カスタム リソースを編集または変更する。 |
| ダッシュボード閲覧者 | dashboard-viewer |
プロジェクトの名前空間で Dashboard カスタム リソースを表示します。 |
| MonitoringRule 編集者 | monitoringrule-editor |
プロジェクトの名前空間で MonitoringRule カスタム リソースを編集または変更する。 |
| MonitoringRule 閲覧者 | monitoringrule-viewer |
プロジェクトの名前空間で MonitoringRule カスタム リソースを表示します。 |
| MonitoringTarget 編集者 | monitoringtarget-editor |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを編集または変更する。 |
| MonitoringTarget 閲覧者 | monitoringtarget-viewer |
プロジェクトの名前空間で MonitoringTarget カスタム リソースを表示します。 |
| ObservabilityPipeline 編集者 | observabilitypipeline-editor |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを編集または変更する。 |
| ObservabilityPipeline 閲覧者 | observabilitypipeline-viewer |
プロジェクトの名前空間で ObservabilityPipeline カスタム リソースを表示します。 |
| プロジェクト Cortex Alertmanager 編集者 | project-cortex-alertmanager-editor |
プロジェクトの名前空間で Cortex Alertmanager インスタンスを編集します。 |
| プロジェクト Cortex Alertmanager 閲覧者 | project-cortex-alertmanager-viewer |
プロジェクトの名前空間にある Cortex Alertmanager インスタンスにアクセスします。 |
| プロジェクト Cortex Prometheus 閲覧者 | project-cortex-prometheus-viewer |
プロジェクトの名前空間にある Cortex Prometheus インスタンスにアクセスします。 |
| プロジェクト Grafana 閲覧者 | project-grafana-viewer |
Grafana モニタリング インスタンスのダッシュボードで、プロジェクトに関連するオブザーバビリティ データを可視化する。 |
ロギング リソース
次の表に、ロギング リソースの各事前定義ロールに割り当てられている権限の詳細を示します。
| ロール名 | Kubernetes リソース名 | 権限の説明 |
|---|---|---|
| 監査ログ プラットフォーム復元バケット作成者 | audit-logs-platform-restore-bucket-creator |
プラットフォーム監査ログを復元するためのバックアップ バケットを作成します。 |
| 監査ログ プラットフォーム バケット閲覧者 | audit-logs-platform-bucket-viewer |
プラットフォーム監査ログのバックアップ バケットを表示します。 |
| 監査ロギング ターゲット モニター | auditloggingtarget-monitor |
AuditLoggingTarget カスタム リソースをデバッグしています。 |
| LoggingRule 作成者 | loggingrule-creator |
プロジェクトの名前空間に LoggingRule カスタム リソースを作成します。 |
| LoggingRule 編集者 | loggingrule-editor |
プロジェクトの名前空間で LoggingRule カスタム リソースを編集または変更する。 |
| LoggingRule 閲覧者 | loggingrule-viewer |
プロジェクトの名前空間で LoggingRule カスタム リソースを表示します。 |
| LoggingTarget 作成者 | loggingtarget-creator |
プロジェクトの名前空間に LoggingTarget カスタム リソースを作成します。 |
| LoggingTarget 編集者 | loggingtarget-editor |
プロジェクトの名前空間で LoggingTarget カスタム リソースを編集または変更する。 |
| LoggingTarget 閲覧者 | loggingtarget-viewer |
プロジェクトの名前空間で LoggingTarget カスタム リソースを表示します。 |
| Log Query API クエリ実行者 | log-query-api-querier |
Log Query API にアクセスしてログをクエリします。 |
| SIEM Export 組織作成者 | siemexport-org-creator |
プロジェクトの名前空間に SIEMOrgForwarder カスタム リソースを作成します。 |
| SIEM エクスポート組織編集者 | siemexport-org-editor |
プロジェクトの名前空間で SIEMOrgForwarder カスタム リソースを編集または変更する。 |
| SIEM エクスポート組織閲覧者 | siemexport-org-viewer |
プロジェクトの名前空間で SIEMOrgForwarder カスタム リソースを表示します。 |