IAM-Rollen (Identity and Access Management) in Google Distributed Cloud (GDC) mit Air Gap steuern den Zugriff auf Monitoring- und Logging-Dienste in Ihrer Organisation und Ihren Projekten. Mit vordefinierten Rollen können Sie den Zugriff mit den geringsten Berechtigungen gewähren, um Beobachtbarkeitspipelines zu konfigurieren, Benachrichtigungsregeln zu verwalten und Messwerte oder Logs abzufragen.
Weisen Sie Rollen auf Organisationsebene zu, um Beobachtbarkeitsressourcen in allen Projekten auf dem globalen API-Server zu verwalten, oder Rollen auf Projektebene, um den Zugriff auf ein einzelnes Projekt zu beschränken. Erstellen Sie für Plattformadministratoren (PAs) Rollenbindungen für Beobachtbarkeitsressourcen im Namespace platform-obs auf dem globalen API-Server.
Vordefinierte Rollen auf Organisationsebene
Fordern Sie die entsprechenden Berechtigungen von Ihrem IAM-Organisationsadministrator an, um Logging und Monitoring in einer Organisation einzurichten und den Lebenszyklus eines Projekts zu verwalten, das Observability-Dienste verwendet.
Wenn Sie Teammitgliedern organisationsweiten Ressourcenzugriff gewähren möchten, weisen Sie Rollen zu, indem Sie Rollenbindungen auf dem globalen API-Server mit seiner kubeconfig-Datei erstellen. Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff auf Ressourcen auf Organisationsebene finden Sie unter Zugriff gewähren und entziehen.
Monitoringressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für das Monitoring von Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung |
|---|---|---|
| Dashboard-PA-Ersteller | dashboard-pa-creator |
Erstellen Sie benutzerdefinierte Dashboard-Ressourcen. |
| Dashboard PA Editor | dashboard-pa-editor |
Benutzerdefinierte Dashboard-Ressourcen bearbeiten oder ändern. |
| Dashboard PA Viewer | dashboard-pa-viewer |
Benutzerdefinierte Dashboard-Ressourcen ansehen. |
| MonitoringRule PA Creator | monitoringrule-pa-creator |
Erstellen Sie benutzerdefinierte MonitoringRule-Ressourcen. |
| MonitoringRule PA Editor | monitoringrule-pa-editor |
Benutzerdefinierte MonitoringRule-Ressourcen bearbeiten oder ändern. |
| MonitoringRule PA Viewer | monitoringrule-pa-viewer |
Benutzerdefinierte MonitoringRule-Ressourcen ansehen. |
| MonitoringTarget PA Creator | monitoringtarget-pa-creator |
Erstellen Sie benutzerdefinierte MonitoringTarget-Ressourcen. |
| MonitoringTarget PA Editor | monitoringtarget-pa-editor |
Benutzerdefinierte MonitoringTarget-Ressourcen bearbeiten oder ändern. |
| MonitoringTarget PA Viewer | monitoringtarget-pa-viewer |
Benutzerdefinierte MonitoringTarget-Ressourcen ansehen. |
| ObservabilityPipeline PA Creator | observabilitypipeline-pa-creator |
Erstellen Sie benutzerdefinierte ObservabilityPipeline-Ressourcen. |
| ObservabilityPipeline PA Editor | observabilitypipeline-pa-editor |
Benutzerdefinierte ObservabilityPipeline-Ressourcen bearbeiten oder ändern. |
| ObservabilityPipeline PA Viewer | observabilitypipeline-pa-viewer |
Benutzerdefinierte ObservabilityPipeline-Ressourcen ansehen. |
| Organization Grafana Viewer | organization-grafana-viewer |
Visualisieren Sie organisationsbezogene Beobachtbarkeitsdaten auf Dashboards der Grafana-Monitoring-Instanz. |
Logging-Ressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für Logging-Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung |
|---|---|---|
| LoggingRule PA Creator | loggingrule-pa-creator |
Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen. |
| LoggingRule PA Editor | loggingrule-pa-editor |
Benutzerdefinierte LoggingRule-Ressourcen bearbeiten oder ändern. |
| LoggingRule PA Viewer | loggingrule-pa-viewer |
Benutzerdefinierte LoggingRule-Ressourcen ansehen. |
| LoggingTarget PA Creator | loggingtarget-pa-creator |
Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen. |
| LoggingTarget PA Editor | loggingtarget-pa-editor |
Benutzerdefinierte LoggingTarget-Ressourcen bearbeiten oder ändern. |
| LoggingTarget PA Viewer | loggingtarget-pa-viewer |
Benutzerdefinierte LoggingTarget-Ressourcen ansehen. |
Vordefinierte Rollen auf Projektebene
Fordern Sie die entsprechenden Berechtigungen von Ihrem IAM-Projektadministrator an, um Logging- und Monitoring-Dienste in einem Projekt zu verwenden. Alle Rollen müssen an den Projekt-Namespace gebunden sein, in dem Sie den Dienst verwenden.
Wenn Sie Teammitgliedern projektweiten Ressourcenzugriff gewähren möchten, weisen Sie Rollen zu, indem Sie Rollenbindungen auf dem globalen API-Server mithilfe der zugehörigen kubeconfig-Datei erstellen. Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff auf Ressourcen auf Projektebene finden Sie unter Zugriff gewähren und entziehen.
Monitoringressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für das Monitoring von Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung |
|---|---|---|
| ConfigMap-Ersteller | configmap-creator |
Erstellen Sie ConfigMap-Objekte im Projekt-Namespace. |
| Dashboard-Editor | dashboard-editor |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| Dashboard Viewer | dashboard-viewer |
Benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace ansehen. |
| MonitoringRule Editor | monitoringrule-editor |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| MonitoringRule Viewer | monitoringrule-viewer |
Benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace ansehen. |
| MonitoringTarget Editor | monitoringtarget-editor |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace ansehen. |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| ObservabilityPipeline-Betrachter | observabilitypipeline-viewer |
Benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace ansehen. |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Bearbeiten Sie die Cortex Alertmanager-Instanz im Projekt-Namespace. |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex Alertmanager-Instanz zu. |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Greifen Sie im Projekt-Namespace auf die Cortex-Prometheus-Instanz zu. |
| Project Grafana Viewer | project-grafana-viewer |
Visualisieren Sie projektbezogene Beobachtbarkeitsdaten auf Dashboards der Grafana-Monitoring-Instanz. |
Logging-Ressourcen
In der folgenden Tabelle finden Sie Details zu den Berechtigungen, die den einzelnen vordefinierten Rollen für Logging-Ressourcen zugewiesen sind:
| Rollenname | Name der Kubernetes-Ressource | Beschreibung der Berechtigung |
|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
Erstellen Sie Sicherungs-Buckets, um die Plattform-Audit-Logs wiederherzustellen. |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
Backup-Buckets von Plattform-Audit-Logs ansehen. |
| Audit-Logging-Zielmonitor | auditloggingtarget-monitor |
Benutzerdefinierte AuditLoggingTarget-Ressource wird debuggt. |
| LoggingRule Creator | loggingrule-creator |
Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. |
| LoggingRule-Bearbeiter | loggingrule-editor |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| LoggingRule-Betrachter | loggingrule-viewer |
Benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace ansehen. |
| LoggingTarget Creator | loggingtarget-creator |
Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. |
| LoggingTarget Editor | loggingtarget-editor |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| LoggingTarget-Betrachter | loggingtarget-viewer |
Benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace ansehen. |
| Log Query API Querier | log-query-api-querier |
Zugriff auf die Log Query API, um Logs abzufragen. |
| SIEM Export Org Creator | siemexport-org-creator |
Erstellen Sie benutzerdefinierte SIEMOrgForwarder-Ressourcen im Projekt-Namespace. |
| SIEM Export Org Editor | siemexport-org-editor |
Benutzerdefinierte SIEMOrgForwarder-Ressourcen im Projekt-Namespace bearbeiten oder ändern. |
| SIEM Export Org Viewer | siemexport-org-viewer |
Benutzerdefinierte SIEMOrgForwarder-Ressourcen im Projekt-Namespace ansehen. |