專案的角色定義

本節的表格說明不同的預先定義角色及其權限。表格包含下列資料欄：

  • 名稱：使用者介面 (UI) 中顯示的角色名稱。
  • Kubernetes 資源名稱：對應 Kubernetes 自訂資源的名稱。
  • 層級：指定這個角色是否受機構或專案的範圍限制。
  • 類型：這個角色的類型。例如，可能的值包括 Role、ProjectRole、ClusterRole 或 ProjectClusterRole。
  • 繫結類型：您必須套用至這個角色的繫結類型。
  • 管理 API 伺服器或 Kubernetes 叢集權限：這個角色在管理 API 伺服器或 Kubernetes 叢集擁有的權限。舉例來說，可能的值包括讀取、寫入、讀取和寫入，或不適用 (N/A)。
  • 升級至：指定這個角色是否會升級至其他角色。

AO 角色、預先定義的身分與存取權角色

AO 角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
專案 IAM 管理員 project-iam-admin 是 「Project」(專案) Role
AI OCR 開發人員 ai-ocr-developer 否 「Project」(專案) Role
AI 平台檢視者 ai-platform-viewer 否 「Project」(專案) Role
AI Speech 開發人員 ai-speech-developer 否 「Project」(專案) Role
AI 翻譯開發人員 ai-translation-developer 否 「Project」(專案) Role
構件管理管理員 artifact-management-admin 否 專案 Role
構件管理編輯者 artifact-management-editor 否 專案 Role
憑證授權單位服務管理員 certificate-authority-service-admin 否 專案 Role
憑證服務管理員 certificate-service-admin 否 專案 Role
資訊主頁編輯器 dashboard-editor 否 專案 Role
資訊主頁檢視者 dashboard-viewer 否 專案 Role
Harbor 執行個體管理員 harbor-instance-admin 否 專案 Role
Harbor 執行個體檢視者 harbor-instance-viewer 否 專案 Role
Harbor 專案建立者 harbor-project-creator 否 專案 Role
K8s 網路政策管理員 k8s-networkpolicy-admin 否 專案 ProjectRole
負載平衡器管理員 load-balancer-admin 否 專案 ProjectRole
LoggingRule Creator loggingrule-creator 否 「Project」(專案) Role
LoggingRule 編輯器 loggingrule-editor 否 「Project」(專案) Role
LoggingRule Viewer loggingrule-viewer 否 「Project」(專案) Role
LoggingTarget Creator loggingtarget-creator 否 「Project」(專案) Role
LoggingTarget 編輯器 loggingtarget-editor 否 「Project」(專案) Role
LoggingTarget 檢視器 loggingtarget-viewer 否 「Project」(專案) Role
MonitoringRule 編輯者 monitoringrule-editor 否 「Project」(專案) Role
MonitoringRule 檢視者 monitoringrule-viewer 否 「Project」(專案) Role
MonitoringTarget 編輯者 monitoringtarget-editor 否 「Project」(專案) Role
MonitoringTarget 檢視者 monitoringtarget-viewer 否 「Project」(專案) Role
命名空間管理員 namespace-admin 否 「Project」(專案) ProjectRole
NAT 檢視器 nat-viewer 否 「Project」(專案) ProjectRole
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 「Project」(專案) Role
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 「Project」(專案) Role
專案 Bucket 管理員 project-bucket-admin 否 「Project」(專案) Role
專案值區物件管理員 project-bucket-object-admin 否 「Project」(專案) Role
專案 Bucket 物件檢視者 project-bucket-object-viewer 否 「Project」(專案) Role
Project Cortex Alertmanager 編輯者 project-cortex-alertmanager-editor 否 「Project」(專案) Role
Project Cortex Alertmanager 檢視者 project-cortex-alertmanager-viewer 否 「Project」(專案) Role
Project Cortex Prometheus Viewer project-cortex-prometheus-viewer 否 「Project」(專案) Role
專案 Grafana 檢視者 project-grafana-viewer 否 專案 Role
專案 NetworkPolicy 管理員 project-networkpolicy-admin 否 「Project」(專案) Role
專案檢視者 project-viewer 否 「Project」(專案) Role
專案 VirtualMachine 管理員 project-vm-admin 否 「Project」(專案) Role
專案 VirtualMachine 映像檔管理員 project-vm-image-admin 否 「Project」(專案) Role
密鑰管理員 secret-admin 否 專案 Role
Secret 檢視者 secret-viewer 否 專案 Role
服務設定管理員 service-configuration-admin 否 專案 Role
服務設定檢視者 service-configuration-viewer 否 專案 Role
Workbench Notebooks 管理員 workbench-notebooks-admin 否 專案 Role
磁碟區複製管理員 app-volume-replication-admin 否 叢集 Role
Workbench 筆記本檢視者 workbench-notebooks-viewer 否 專案 Role
工作負載檢視者 workload-viewer 否 專案 Role

AO 角色、預先定義的身分和存取權角色

AO 角色
名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限 呈報至
專案 IAM 管理員 RoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、ProjectClusterRole、ProjectRoleBinding 和 ProjectClusterRoleBinding：建立、讀取、更新、刪除及繫結
  • ProjectServiceAccount：建立、讀取、更新及刪除
  • 列出專案命名空間
 不適用 所有其他 AO 角色
AI OCR 開發人員 RoleBinding OCR 資源：讀取及寫入 不適用 不適用
AI Speech 開發人員 RoleBinding 語音資源：讀取及寫入 不適用 不適用
AI 翻譯開發人員 RoleBinding 翻譯資源：讀取及寫入 不適用 不適用
構件管理管理員 RoleBinding HarborProjects：管理員、建立、讀取、寫入、刪除及檢視 不適用 不適用
構件管理編輯者 RoleBinding HarborProjects：讀取、寫入及檢視 不適用 不適用
憑證授權單位服務管理員 RoleBinding 憑證授權單位和憑證要求：取得、列出、監控、更新、建立、刪除及修補 不適用 不適用
憑證服務管理員 RoleBinding 憑證和憑證核發機構：取得、列出、監控、更新、建立、刪除及修補 不適用 不適用
資訊主頁編輯器 RoleBinding Dashboard 自訂資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 RoleBinding Dashboard：取得及讀取 不適用 不適用
Harbor 執行個體管理員 RoleBinding Harbor 執行個體：建立、讀取、更新、刪除及修補 不適用 不適用
Harbor 執行個體檢視者 RoleBinding Harbor 執行個體：讀取 不適用 不適用
Harbor 專案建立者 RoleBinding Harbor 執行個體專案：建立、取得及監看 不適用 不適用
K8s NetworkPolicy 管理員 ProjectRoleBinding 不適用 NetworkPolicy 資源：建立、讀取、取得、更新、刪除及修補 不適用
負載平衡器管理員 RoleBinding 不適用
  • Backend：取得、觀看、列出、建立、修補、更新及刪除
  • HealthCheck：取得、觀看、列出、建立、修補、更新及刪除
  • BackendService：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleExternal：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleInternal：取得、觀看、列出、建立、修補、更新及刪除
 不適用
LoggingRule Creator RoleBinding LoggingRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
LoggingRule 編輯器 RoleBinding LoggingRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
LoggingRule Viewer RoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget Creator RoleBinding LoggingTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
LoggingTarget 編輯器 RoleBinding LoggingTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
LoggingTarget 檢視器 RoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
MonitoringRule 編輯者 RoleBinding MonitoringRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 RoleBinding MonitoringRule 自訂資源：讀取 不適用 不適用
MonitoringTarget 編輯者 RoleBinding MonitoringTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 RoleBinding MonitoringTarget 自訂資源：讀取 不適用 不適用
命名空間管理員 ProjectRoleBinding 不適用 所有資源：專案命名空間的讀寫權限 不適用
NAT 檢視器 ProjectRoleBinding 不適用 部署作業：取得及讀取 不適用
ObservabilityPipeline 編輯者 RoleBinding ObservabilityPipeline 資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 RoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
專案 Bucket 管理員 RoleBinding 值區：在專案命名空間中讀取及寫入 不適用 不適用
專案值區物件管理員 RoleBinding
  • 值區：讀取
  • 物件：讀取及寫入
 不適用 不適用
專案 Bucket 物件檢視者 RoleBinding 值區和物件：讀取 不適用 不適用
Project Cortex Alertmanager 編輯者 RoleBinding Cortex 系統和 Cortex Alertmanager：讀取及寫入 不適用 不適用
Project Cortex Alertmanager 檢視者 RoleBinding Cortex 系統和 Cortex Alertmanager：請參閱 不適用 不適用
Project Cortex Prometheus Viewer RoleBinding Cortex 系統和 Cortex Prometheus：請參閱 不適用 不適用
專案 Grafana 檢視者 RoleBinding Grafana 系統和 Grafana：讀取和寫入 不適用 不適用
專案 NetworkPolicy 管理員 RoleBinding 專案網路政策：在專案命名空間中讀取及寫入 不適用 不適用
專案檢視者 RoleBinding 專案命名空間中的所有資源：讀取 不適用 不適用
專案 VirtualMachine 管理員 RoleBinding
  • 虛擬機器、磁碟、存取要求、外部存取、備份要求、備份、還原要求、刪除備份要求、還原和密碼重設要求：讀取、建立、更新及刪除
  • 重新啟動虛擬機器：放置
  • 虛擬機器映像檔、備份方案和備份方案範本：讀取
 不適用 不適用
專案 VirtualMachine 映像檔管理員 RoleBinding
  • VM 映像檔：請參閱
  • VM 映像檔匯入作業：讀取及寫入
  • 值區：建立
  • 「vm-images-bucket」Bucket：讀取和寫入
 不適用 不適用
密鑰管理員 RoleBinding Kubernetes Secret：讀取、建立、更新、刪除及修補 不適用 不適用
Secret 檢視者 RoleBinding Kubernetes 密鑰：讀取 不適用 不適用
服務設定管理員 RoleBinding ServiceConfigurations：讀取及寫入 不適用 不適用
服務設定檢視者 RoleBinding ServiceConfigurations：已讀 不適用 不適用
磁碟區複製管理員 ClusterRoleBinding Volume failovers, volume relationship replicas： 建立、取得、列出、觀看、刪除 不適用 不適用
Workbench Notebooks 管理員 RoleBinding 不適用
  • 專案命名空間中的 Notebook 自訂資源 (CR)：建立、讀取、更新及刪除
  • ClusterInfo 物件：讀取
 不適用
Workbench 筆記本檢視者 RoleBinding 不適用
  • 專案命名空間中的 Notebook 自訂資源 (CR)：讀取
 不適用
工作負載檢視者 ProjectRoleBinding 不適用
  • 專案命名空間中的 Pod 自訂資源：讀取
  • 專案命名空間中的部署作業自訂資源：讀取
 不適用

常見的預先定義身分與存取權角色

常見角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
AI 平台檢視者 ai-platform-viewer 否 專案 Role
DNS 尾碼檢視者 dnssuffix-viewer 否 機構 Role
Flow Log Admin flowlog-admin 否 機構 ClusterRole
流程記錄檢視器 flowlog-viewer 否 專案 ClusterRole
專案探索檢視者 projectdiscovery-viewer 否 「Project」(專案) ClusterRole
公開圖片檢視器 public-image-viewer 否 機構 Role
系統 Artifact Registry anthos-creds 密鑰監控 sar-anthos-creds-secret-monitor 否 機構 Role
系統 Artifact Registry gpc-system 密鑰監控 sar-gpc-system-secret-monitor 否 機構 Role
系統 Artifact Registry harbor-system 密鑰監控 sar-harbor-system-secret-monitor 否 機構 Role
虛擬機器類型檢視者 virtualmachinetype-viewer 否 機構 OrganizationRole
VM Type Viewer vmtype-viewer 否 機構 Role

常見的預先定義身分與存取權角色

常見角色
名稱 繫結類型 管理員叢集權限 Kubernetes 叢集權限 呈報至
AI 平台檢視者 RoleBinding 預先訓練的服務：讀取 不適用 不適用
DNS 尾碼檢視者 ClusterRoleBinding DNS 尾碼設定對應：讀取 不適用 不適用
Flow Log Admin ClusterRoleBinding 流量記錄資源：取得及讀取 流量記錄資源：取得及讀取 不適用
流程記錄檢視器 ClusterRoleBinding 流量記錄資源：建立、取得、讀取、修補、更新及刪除 流量記錄資源：建立、取得、讀取、修補、更新及刪除 不適用
專案探索檢視者 ClusterRoleBinding 專案：讀取 不適用 不適用
公開圖片檢視器 RoleBinding VM 映像檔：請參閱 不適用 不適用
系統 Artifact Registry anthos-creds 密鑰監控 RoleBinding anthos-creds 密鑰：取得及讀取 anthos-creds 密鑰：取得及讀取 不適用
系統 Artifact Registry gpc-system 密鑰監控 RoleBinding gpc-system 密鑰：取得及讀取 gpc-system 密鑰：取得及讀取 不適用
系統 Artifact Registry harbor-system 密鑰監控 RoleBinding harbor-system 密鑰：取得及讀取 harbor-system 密鑰：取得及讀取 不適用
虛擬機器類型檢視者 OrganizationRoleBinding 不適用 VM 類型：讀取 不適用
VM Type Viewer ClusterRoleBinding VM 類型：讀取 不適用 不適用