שליטה בגישה ל-Cloud Service Mesh במסוף Google Cloud
תפקידים בניהול זהויות והרשאות גישה (IAM) מאפשרים לכם לנהל את הרשאות המשתמשים ל-Cloud Service Mesh במסוף Google Cloud . כדי לקבל גישה, בעלי הפרויקט צריכים להקצות למשתמשים את התפקיד "עריכת פרויקט" או "צפייה בפרויקט", או את התפקידים המגבילים יותר שמתוארים במאמר הזה, כדי שהמשתמשים יוכלו לבצע משימות ספציפיות. במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים מוסבר איך מקצים תפקידים.
תפקידים מינימליים לקריאה בלבד
משתמשים עם התפקידים הבאים יכולים לגשת לדפי Cloud Service Mesh למטרות מעקב בלבד. משתמשים עם התפקידים האלה לא יכולים ליצור או לשנות אובייקטים ברמת השירות (SLO), או לבצע שינויים בתשתית של GKE.
| שם התפקיד ב-IAM | שם התפקיד | תיאור |
|---|---|---|
| צפייה במעקב | roles/monitoring.viewer | הרשאת קריאה בלבד לקבלת מידע על כל נתוני המעקב וההגדרות, ולהצגת רשימה שלהם. |
| Kubernetes Engine Viewer | roles/container.viewer | הרשאת קריאה בלבד למשאבי GKE. התפקיד הזה לא נדרש לאשכולות GKE ב- Google Cloud. |
| מציג היומנים | roles/logging.viewer | הרשאת קריאה בלבד לדף "אבחון" בתצוגה של פרטי השירות. אם לא נדרשת גישה לדף הזה, אפשר להשמיט את ההרשאה הזו. |
| צפייה בשימוש בשירות | roles/serviceusage.serviceUsageViewer | יכולת לבדוק את המצבים והפעולות של השירות בפרויקט של צרכן השירות. |
תפקידי כתיבה מינימליים
משתמשים עם התפקידים הבאים יכולים ליצור או לשנות יעדי SLO בדפי Cloud Service Mesh, וליצור או לשנות מדיניות התראות שמבוססת על יעדי ה-SLO. משתמשים עם התפקידים האלה לא יכולים לבצע שינויים בתשתית של GKE.
| שם התפקיד ב-IAM | שם התפקיד | תיאור |
|---|---|---|
| עורך המעקב | roles/monitoring.editor | גישה מלאה למידע על כל נתוני המעקב וההגדרות. |
| עריכה ב-Kubernetes Engine | roles/container.editor | הרשאות כתיבה שנדרשות לניהול משאבים ב-GKE. |
| עריכת יומנים | roles/logging.editor | הרשאות כתיבה שנדרשות לדף "אבחון" בתצוגת פרטי השירות. |
מקרים מיוחדים
התפקידים הבאים נדרשים להגדרות ספציפיות של רשתות שירות.
| שם התפקיד ב-IAM | שם התפקיד | תיאור |
|---|---|---|
| GKE GKE Fleet Viewer | roles/gkehub.viewer | גישת צפייה לאשכולות מחוץ ל- Google Cloud במסוף Google Cloud . התפקיד הזה נדרש למשתמשים כדי להציג אשכולות מחוץ ל-Google Cloud ברשת. בנוסף, תצטרכו להקצות למשתמש את תפקיד ה-RBAC של אדמין האשכול כדי לאפשר למרכז הבקרה לשלוח שאילתות לאשכול בשמו. |
תפקידים והרשאות נוספים
אם התפקידים שלמעלה לא מתאימים לצרכים שלכם, ב-IAM יש תפקידים נוספים והרשאות פרטניות. לדוגמה, יכול להיות שתרצו להקצות את התפקיד "אדמין של Kubernetes Engine" או "אדמין של אשכול Kubernetes Engine" כדי לאפשר למשתמש לנהל את תשתית GKE.
מידע נוסף זמין במאמרים הבאים: