I ruoli di Identity and Access Management (IAM) in Google Distributed Cloud (GDC) con air gap controllano l'accesso ai servizi di monitoraggio e logging nell'organizzazione e nei progetti. I ruoli predefiniti ti consentono di concedere l'accesso con privilegio minimo per configurare le pipeline di osservabilità, gestire le regole di avviso ed eseguire query su metriche o log.
Assegna ruoli a livello di organizzazione per gestire le risorse di osservabilità in tutti i progetti sul server API globale o ruoli a livello di progetto per limitare l'accesso a un singolo progetto. Per gli amministratori della piattaforma (PA), crea associazioni di ruoli per le risorse di osservabilità nello spazio dei nomi platform-obs sul server API globale.
Ruoli predefiniti a livello di organizzazione
Richiedi le autorizzazioni appropriate all'amministratore dell'organizzazione IAM per configurare il logging e il monitoraggio in un'organizzazione e gestire il ciclo di vita di un progetto che utilizza i servizi di osservabilità.
Per concedere ai membri del team l'accesso alle risorse a livello di organizzazione, assegna i ruoli creando associazioni di ruoli sul server API globale utilizzando il relativo file kubeconfig. Per concedere autorizzazioni o ricevere l'accesso ai ruoli per le risorse a livello di organizzazione, consulta Concedi e revoca l'accesso.
Risorse monitorate
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per il monitoraggio delle risorse monitorate:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione |
|---|---|---|
| Dashboard PA Creator | dashboard-pa-creator |
Crea Dashboard risorse personalizzate. |
| Dashboard PA Editor | dashboard-pa-editor |
Modificare Dashboard risorse personalizzate. |
| Dashboard PA Viewer | dashboard-pa-viewer |
Visualizza Dashboard risorse personalizzate. |
| MonitoringRule PA Creator | monitoringrule-pa-creator |
Crea MonitoringRule risorse personalizzate. |
| MonitoringRule PA Editor | monitoringrule-pa-editor |
Modificare MonitoringRule risorse personalizzate. |
| MonitoringRule PA Viewer | monitoringrule-pa-viewer |
Visualizza MonitoringRule risorse personalizzate. |
| MonitoringTarget PA Creator | monitoringtarget-pa-creator |
Crea MonitoringTarget risorse personalizzate. |
| MonitoringTarget PA Editor | monitoringtarget-pa-editor |
Modificare MonitoringTarget risorse personalizzate. |
| MonitoringTarget PA Viewer | monitoringtarget-pa-viewer |
Visualizza MonitoringTarget risorse personalizzate. |
| ObservabilityPipeline PA Creator | observabilitypipeline-pa-creator |
Crea ObservabilityPipeline risorse personalizzate. |
| ObservabilityPipeline PA Editor | observabilitypipeline-pa-editor |
Modificare ObservabilityPipeline risorse personalizzate. |
| ObservabilityPipeline PA Viewer | observabilitypipeline-pa-viewer |
Visualizza ObservabilityPipeline risorse personalizzate. |
| Organization Grafana Viewer | organization-grafana-viewer |
Visualizza i dati di osservabilità relativi all'organizzazione nelle dashboard dell'istanza di monitoraggio di Grafana. |
Risorse di logging
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per le risorse di logging:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione |
|---|---|---|
| LoggingRule PA Creator | loggingrule-pa-creator |
Crea LoggingRule risorse personalizzate. |
| LoggingRule PA Editor | loggingrule-pa-editor |
Modificare LoggingRule risorse personalizzate. |
| LoggingRule PA Viewer | loggingrule-pa-viewer |
Visualizza LoggingRule risorse personalizzate. |
| LoggingTarget PA Creator | loggingtarget-pa-creator |
Crea LoggingTarget risorse personalizzate. |
| LoggingTarget PA Editor | loggingtarget-pa-editor |
Modificare LoggingTarget risorse personalizzate. |
| LoggingTarget PA Viewer | loggingtarget-pa-viewer |
Visualizza LoggingTarget risorse personalizzate. |
Ruoli predefiniti a livello di progetto
Richiedi all'amministratore del progetto IAM le autorizzazioni appropriate per utilizzare i servizi di logging e monitoraggio in un progetto. Tutti i ruoli devono essere associati allo spazio dei nomi del progetto in cui utilizzi il servizio.
Per concedere ai membri del team l'accesso alle risorse a livello di progetto, assegna i ruoli creando associazioni di ruoli sul server API globale utilizzando il relativo file kubeconfig. Per concedere autorizzazioni o ricevere l'accesso ai ruoli per le risorse a livello di progetto, consulta Concedi e revoca l'accesso.
Risorse monitorate
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per il monitoraggio delle risorse monitorate:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione |
|---|---|---|
| ConfigMap Creator | configmap-creator |
Crea oggetti ConfigMap nello spazio dei nomi del progetto. |
| Editor dashboard | dashboard-editor |
Modificare Dashboard risorse personalizzate nello spazio dei nomi del progetto. |
| Dashboard Viewer | dashboard-viewer |
Visualizza le risorse personalizzate Dashboard nello spazio dei nomi del progetto. |
| MonitoringRule Editor | monitoringrule-editor |
Modificare MonitoringRule risorse personalizzate nello spazio dei nomi del progetto. |
| MonitoringRule Viewer | monitoringrule-viewer |
Visualizza le risorse personalizzate MonitoringRule nello spazio dei nomi del progetto. |
| MonitoringTarget Editor | monitoringtarget-editor |
Modificare MonitoringTarget risorse personalizzate nello spazio dei nomi del progetto. |
| MonitoringTarget Viewer | monitoringtarget-viewer |
Visualizza le risorse personalizzate MonitoringTarget nello spazio dei nomi del progetto. |
| ObservabilityPipeline Editor | observabilitypipeline-editor |
Modificare ObservabilityPipeline risorse personalizzate nello spazio dei nomi del progetto. |
| ObservabilityPipeline Viewer | observabilitypipeline-viewer |
Visualizza le risorse personalizzate ObservabilityPipeline nello spazio dei nomi del progetto. |
| Project Cortex Alertmanager Editor | project-cortex-alertmanager-editor |
Modifica l'istanza Cortex Alertmanager nello spazio dei nomi del progetto. |
| Project Cortex Alertmanager Viewer | project-cortex-alertmanager-viewer |
Accedi all'istanza Cortex Alertmanager nello spazio dei nomi del progetto. |
| Project Cortex Prometheus Viewer | project-cortex-prometheus-viewer |
Accedi all'istanza Prometheus di Cortex nello spazio dei nomi del progetto. |
| Project Grafana Viewer | project-grafana-viewer |
Visualizza i dati di osservabilità relativi al progetto nelle dashboard dell'istanza di monitoraggio di Grafana. |
Risorse di logging
La tabella seguente fornisce i dettagli sulle autorizzazioni assegnate a ciascun ruolo predefinito per le risorse di logging:
| Nome ruolo | Nome della risorsa Kubernetes | Descrizione dell'autorizzazione |
|---|---|---|
| Audit Logs Platform Restore Bucket Creator | audit-logs-platform-restore-bucket-creator |
Crea bucket di backup per ripristinare gli audit log della piattaforma. |
| Audit Logs Platform Bucket Viewer | audit-logs-platform-bucket-viewer |
Visualizza i bucket di backup degli audit log della piattaforma. |
| Monitoraggio della destinazione dell'audit logging | auditloggingtarget-monitor |
Debug della risorsa personalizzata AuditLoggingTarget. |
| LoggingRule Creator | loggingrule-creator |
Crea risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
| LoggingRule Editor | loggingrule-editor |
Modificare LoggingRule risorse personalizzate nello spazio dei nomi del progetto. |
| LoggingRule Viewer | loggingrule-viewer |
Visualizza le risorse personalizzate LoggingRule nello spazio dei nomi del progetto. |
| LoggingTarget Creator | loggingtarget-creator |
Crea risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
| LoggingTarget Editor | loggingtarget-editor |
Modificare LoggingTarget risorse personalizzate nello spazio dei nomi del progetto. |
| LoggingTarget Viewer | loggingtarget-viewer |
Visualizza le risorse personalizzate LoggingTarget nello spazio dei nomi del progetto. |
| Log Query API Querier | log-query-api-querier |
Accedi all'API Log Query per eseguire query sui log. |
| SIEM Export Org Creator | siemexport-org-creator |
Crea risorse personalizzate SIEMOrgForwarder nello spazio dei nomi del progetto. |
| SIEM Export Org Editor | siemexport-org-editor |
Modificare SIEMOrgForwarder risorse personalizzate nello spazio dei nomi del progetto. |
| SIEM Export Org Viewer | siemexport-org-viewer |
Visualizza le risorse personalizzate SIEMOrgForwarder nello spazio dei nomi del progetto. |