IAM-Berechtigungen vorbereiten

Die GDC-Appliance (Google Distributed Cloud) für Air-Gap-Umgebungen bietet Identity and Access Management (IAM) für den detaillierten Zugriff auf bestimmte GDC-Appliance-Ressourcen für Air-Gap-Umgebungen und verhindert unerwünschten Zugriff auf andere Ressourcen. IAM basiert auf dem Sicherheitsprinzip der geringsten Berechtigung und steuert mithilfe von IAM-Rollen und -Berechtigungen, wer auf bestimmte Ressourcen zugreifen kann.

Eine Rolle ist eine Sammlung bestimmter Berechtigungen, die bestimmten Aktionen für Ressourcen zugeordnet und einzelnen Subjekten wie Nutzern, Nutzergruppen oder Dienstkonten zugewiesen werden. Daher benötigen Sie die entsprechenden IAM-Rollen und -Berechtigungen, um Monitoring- und Logging-Dienste auf der GDC-Appliance ohne Internetverbindung zu verwenden.

IAM-Berechtigungen für Infrastructure Operator

IAM auf der GDC-Appliance mit Air Gap bietet vordefinierte Rollentypen, die Sie auf den folgenden Zugriffsebenen erhalten können:

  • Management API-Server: Weisen Sie einem Subjekt Berechtigungen zum Verwalten benutzerdefinierter Ressourcen auf Projektebene im Projekt-Namespace des Management API-Servers zu, auf dem es Logging- und Monitoring-Dienste verwenden möchte.
  • Root-Administratorcluster: Gewähren Sie einem Subjekt Berechtigungen zum Verwalten von Infrastrukturressourcen im Root-Administratorcluster.

Wenn Sie nicht auf einen Überwachungs- oder Protokollierungsdienst zugreifen oder ihn nicht verwenden können, wenden Sie sich an Ihren Administrator, damit er Ihnen die erforderlichen Rollen zuweist. Fordern Sie die entsprechenden Berechtigungen von Ihrem Sicherheitsadministrator an.

Auf dieser Seite werden alle Rollen und die entsprechenden Berechtigungen für die Verwendung von Monitoring- und Logging-Diensten beschrieben.

Vordefinierte Rollen auf Projektebene

Bitten Sie Ihren Sicherheitsadministrator, Ihnen die entsprechenden Berechtigungen zu gewähren, damit Sie die Protokollierung und Überwachung im Projekt-Namespace des Management API-Servers einrichten können, auf dem Sie den Lebenszyklus von Observability-Diensten verwalten möchten.

Alle Rollen müssen an den Projektnamespace des Management API-Servers gebunden sein, auf dem Sie den Dienst verwenden. Um Teammitgliedern Ressourcenzugriff zu gewähren, weisen Sie Rollen zu, indem Sie Rollenbindungen auf dem Management API-Server mit der zugehörigen kubeconfig-Datei erstellen. Informationen zum Gewähren von Berechtigungen oder zum Erhalten von Rollenzugriff finden Sie unter Zugriff gewähren und entziehen.

Weitere Informationen finden Sie unter Beschreibungen vordefinierter Rollen.

Ressourcen beobachten

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für die Überwachung von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
ConfigMap Creator configmap-creator Erstellen Sie ConfigMap-Objekte im Projekt-Namespace. Role
Dashboard IO Creator dashboard-io-creator Erstellen Sie benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace. ClusterRole
Dashboard I/O-Editor dashboard-io-editor Bearbeiten oder ändern Sie benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace. ClusterRole
Dashboard I/O Viewer dashboard-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen Dashboard im Projekt-Namespace an. ClusterRole
MonitoringRule IO Creator monitoringrule-io-creator Erstellen Sie benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace. ClusterRole
MonitoringRule IO Editor monitoringrule-io-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace. ClusterRole
MonitoringRule IO Viewer monitoringrule-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen MonitoringRule im Projekt-Namespace an. ClusterRole
MonitoringTarget IO Creator monitoringtarget-io-creator Erstellen Sie benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace. ClusterRole
MonitoringTarget IO Editor monitoringtarget-io-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace. ClusterRole
MonitoringTarget IO Viewer monitoringtarget-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen MonitoringTarget im Projekt-Namespace an. ClusterRole
ObservabilityPipeline IO Creator observabilitypipeline-io-creator Erstellen Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace. ClusterRole
ObservabilityPipeline IO Editor observabilitypipeline-io-editor Bearbeiten oder ändern Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace. ClusterRole
ObservabilityPipeline IO Viewer observabilitypipeline-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen ObservabilityPipeline im Projekt-Namespace an. ClusterRole
Project Cortex Alertmanager Editor project-cortex-alertmanager-editor Bearbeiten Sie die Cortex Alertmanager-Instanz im Projekt-Namespace. Role
Project Cortex Alertmanager Viewer project-cortex-alertmanager-viewer Greifen Sie im Projekt-Namespace auf die Cortex Alertmanager-Instanz zu. Role
Project Cortex Prometheus Viewer project-cortex-prometheus-viewer Greifen Sie auf die Cortex Prometheus-Instanz im Projekt-Namespace zu. Role
Grafana-Betrachter für Projekte project-grafana-viewer Projektbezogene Observability-Daten in Dashboards der Grafana-Monitoring-Instanz visualisieren Role
ServiceLevelObjective-Betrachter servicelevelobjective-viewer Benutzerdefinierte Ressourcen vom Typ ServiceLevelObjective auf dem Management API-Server visualisieren ClusterRole

Logging-Ressourcen

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für das Protokollieren von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
AuditLoggingTarget IO Creator auditloggingtarget-io-creator Erstellen Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Projekt-Namespace. ClusterRole
Bearbeiter von AuditLoggingTarget IO auditloggingtarget-io-editor Bearbeiten oder ändern Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Projekt-Namespace. ClusterRole
AuditLoggingTarget IO Viewer auditloggingtarget-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen AuditLoggingTarget im Projekt-Namespace an. ClusterRole
Audit Logs Backup Restore Creator audit-logs-backup-restore-creator Konfiguration für einen Sicherungsübertragungsjob erstellen und Audit-Logs wiederherstellen Role
Editor für das Wiederherstellen von Audit-Log-Sicherungen audit-logs-backup-restore-editor Konfiguration des Sicherungsübertragungsjobs bearbeiten und Audit-Logs wiederherstellen Role
Audit Logs Infra Bucket Viewer audit-logs-infra-bucket-viewer Sicherungs-Buckets von Infrastruktur-Audit-Logs ansehen Role
FluentBit IO Creator fluentbit-io-creator Erstellen Sie benutzerdefinierte FluentBit-Ressourcen im Projekt-Namespace. ClusterRole
FluentBit IO-Editor fluentbit-io-editor Bearbeiten oder ändern Sie benutzerdefinierte FluentBit-Ressourcen im Projekt-Namespace. ClusterRole
FluentBit IO-Betrachter fluentbit-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen FluentBit im Projekt-Namespace an. ClusterRole
LogCollector IO Creator logcollector-io-creator Erstellen Sie benutzerdefinierte LogCollector-Ressourcen im Projekt-Namespace. ClusterRole
LogCollector IO Editor logcollector-io-editor Bearbeiten oder ändern Sie benutzerdefinierte LogCollector-Ressourcen im Projekt-Namespace. ClusterRole
LogCollector IO Viewer logcollector-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen LogCollector im Projekt-Namespace an. ClusterRole
LoggingRule IO Creator loggingrule-io-creator Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. ClusterRole
LoggingRule IO Editor loggingrule-io-editor Bearbeiten oder ändern Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. ClusterRole
IO-Viewer für LoggingRule loggingrule-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen LoggingRule im Projekt-Namespace an. ClusterRole
LoggingTarget IO Creator loggingtarget-io-creator Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. ClusterRole
IO-Bearbeiter für LoggingTarget loggingtarget-io-editor Bearbeiten oder ändern Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. ClusterRole
IO-Viewer für LoggingTarget loggingtarget-io-viewer Sehen Sie sich die benutzerdefinierten Ressourcen LoggingTarget im Projekt-Namespace an. ClusterRole

Vordefinierte Rollen im Administratorcluster des Stammverzeichnisses

Fordern Sie die entsprechenden Berechtigungen von Ihrem Sicherheitsadministrator an, um Logging- und Monitoring-Dienste im Administrator-Root-Cluster zu verwenden.

Um Teammitgliedern Zugriff auf Ressourcen zu gewähren, weisen Sie Rollen zu, indem Sie Rollenbindungen für den Administratorcluster der obersten Ebene mit seiner kubeconfig-Datei erstellen. Informationen zum Zuweisen von Berechtigungen oder zum Erhalten von Rollenzugriff finden Sie unter Zugriff gewähren und entziehen.

Weitere Informationen finden Sie unter Beschreibungen vordefinierter Rollen.

Ressourcen beobachten

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für die Überwachung von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
Dashboard Creator dashboard-creator Erstellen Sie benutzerdefinierte Dashboard-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
Dashboard-Editor dashboard-editor Bearbeiten oder ändern Sie benutzerdefinierte Dashboard-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
Dashboard-Betrachter dashboard-viewer Sehen Sie sich die benutzerdefinierten Dashboard-Ressourcen im Root-Administratorcluster an. ClusterRole
Grafana Viewer grafana-viewer Beobachtbarkeitsdaten in Dashboards der Grafana-Monitoring-Instanz im Root-Administratorcluster visualisieren ClusterRole
MonitoringRule Creator monitoringrule-creator Erstellen Sie benutzerdefinierte MonitoringRule-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
MonitoringRule Editor monitoringrule-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringRule-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
MonitoringRule Viewer monitoringrule-viewer Sehen Sie sich die benutzerdefinierten MonitoringRule-Ressourcen im Root-Administratorcluster an. ClusterRole
MonitoringTarget Creator monitoringtarget-creator Erstellen Sie benutzerdefinierte MonitoringTarget-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
MonitoringTarget Editor monitoringtarget-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringTarget-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
MonitoringTarget Viewer monitoringtarget-viewer Sehen Sie sich die benutzerdefinierten MonitoringTarget-Ressourcen im Root-Administratorcluster an. ClusterRole
ObservabilityPipeline Creator observabilitypipeline-creator Erstellen Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
ObservabilityPipeline Editor observabilitypipeline-editor Bearbeiten oder ändern Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
ObservabilityPipeline-Betrachter observabilitypipeline-viewer Sehen Sie sich die benutzerdefinierten ObservabilityPipeline-Ressourcen im Root-Administratorcluster an. ClusterRole
Root Cortex Alertmanager-Bearbeiter root-cortex-alertmanager-editor Bearbeiten Sie die Cortex Alertmanager-Instanz im Stamm-Administratorcluster. Role
Root Cortex Alertmanager Viewer root-cortex-alertmanager-viewer Greifen Sie auf die Cortex Alertmanager-Instanz im Administratorcluster des Root-Clusters zu. Role
Root Cortex Prometheus Viewer root-cortex-prometheus-viewer Greifen Sie auf die Cortex-Prometheus-Instanz im Administratorcluster der obersten Ebene zu. Role
ServiceLevelObjective-Betrachter servicelevelobjective-viewer Benutzerdefinierte ServiceLevelObjective-Ressourcen im Root-Administratorcluster visualisieren ClusterRole

Logging-Ressourcen

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für das Protokollieren von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
AuditLoggingTarget Creator auditloggingtarget-creator Erstellen Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
AuditLoggingTarget Editor auditloggingtarget-editor Bearbeiten oder ändern Sie benutzerdefinierte AuditLoggingTarget-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
AuditLoggingTarget-Betrachter auditloggingtarget-viewer Sehen Sie sich die benutzerdefinierten AuditLoggingTarget-Ressourcen im Root-Administratorcluster an. ClusterRole
Audit Logs Backup Restore Creator audit-logs-backup-restore-creator Konfiguration für einen Sicherungsübertragungsjob erstellen und Audit-Logs wiederherstellen Role
Editor für das Wiederherstellen von Audit-Log-Sicherungen audit-logs-backup-restore-editor Konfiguration des Sicherungsübertragungsjobs bearbeiten und Audit-Logs wiederherstellen Role
Audit Logs Infra Bucket Viewer audit-logs-infra-bucket-viewer Sicherungs-Buckets von Infrastruktur-Audit-Logs ansehen Role
FluentBit Creator fluentbit-creator Erstellen Sie benutzerdefinierte FluentBit-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
FluentBit-Editor fluentbit-editor Bearbeiten oder ändern Sie benutzerdefinierte FluentBit-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
FluentBit Viewer fluentbit-viewer Sehen Sie sich die benutzerdefinierten FluentBit-Ressourcen im Root-Administratorcluster an. ClusterRole
LogCollector Creator logcollector-creator Erstellen Sie benutzerdefinierte LogCollector-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
LogCollector-Editor logcollector-editor Bearbeiten oder ändern Sie benutzerdefinierte LogCollector-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
LogCollector Viewer logcollector-viewer Sehen Sie sich die benutzerdefinierten LogCollector-Ressourcen im Root-Administratorcluster an. ClusterRole
LoggingRule Creator loggingrule-creator Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
LoggingRule Editor loggingrule-editor Bearbeiten oder ändern Sie benutzerdefinierte LoggingRule-Ressourcen im Administratorcluster des Stammverzeichnisses. ClusterRole
LoggingRule Viewer loggingrule-viewer Sehen Sie sich die benutzerdefinierten LoggingRule-Ressourcen im Root-Administratorcluster an. ClusterRole

IAM-Berechtigungen für Plattformadministrator und Anwendungsoperator

IAM auf der GDC-Appliance ohne Internetverbindung bietet die folgenden zwei vordefinierten PA/AO-Rollentypen, je nach benötigtem Zugriff:

  • ClusterRole: Einem Subjekt werden Berechtigungen auf Organisationsebene gewährt. Mit Rollen auf Organisationsebene können Sie benutzerdefinierte Ressourcen in allen Projektnamespaces des Management API-Servers bereitstellen und Dienste in allen Projekten Ihrer gesamten Organisation aktivieren.
  • Role: Einem Subjekt Berechtigungen auf Projektebene erteilen, indem Rollen an Kubernetes-Namespaces weitergegeben werden. Mit Rollen auf Projektebene können Sie benutzerdefinierte Ressourcen im Projektnamespace des Management API-Servers bereitstellen und Dienste nur in Ihrem Projektnamespace aktivieren.

Wenn Sie nicht auf einen Überwachungs- oder Protokollierungsdienst zugreifen oder ihn nicht verwenden können, wenden Sie sich an Ihren Administrator, damit er Ihnen die erforderlichen Rollen zuweist. Fordern Sie die entsprechenden Berechtigungen für ein bestimmtes Projekt von Ihrem Projekt-IAM-Administrator an. Wenn Sie Berechtigungen auf Organisationsebene benötigen, wenden Sie sich stattdessen an Ihren IAM-Administrator der Organisation.

Auf dieser Seite werden alle Rollen und die entsprechenden Berechtigungen für die Verwendung von Monitoring- und Logging-Diensten beschrieben.

Vordefinierte Rollen auf Projektebene

Fordern Sie die entsprechenden Berechtigungen von Ihrem Projekt-IAM-Administrator an, um Logging- und Monitoring-Dienste in einem Projekt zu verwenden. Alle Rollen müssen an den Projektnamespace gebunden sein, in dem Sie den Dienst verwenden.

Informationen zum Erteilen von Berechtigungen oder zum Erhalten von Rollenzugriff auf Ressourcen auf Projektebene finden Sie unter Zugriff auf Projektressourcen gewähren.

Ressourcen beobachten

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für die Überwachung von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
ConfigMap Creator configmap-creator Erstellen Sie ConfigMap-Objekte im Projekt-Namespace. Role
Dashboard-Editor dashboard-editor Bearbeiten oder ändern Sie benutzerdefinierte Dashboard-Ressourcen im Projekt-Namespace. Role
Dashboard-Betrachter dashboard-viewer Sehen Sie sich die benutzerdefinierten Ressourcen Dashboard im Projekt-Namespace an. Role
MonitoringRule Editor monitoringrule-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringRule-Ressourcen im Projekt-Namespace. Role
MonitoringRule Viewer monitoringrule-viewer Sehen Sie sich die benutzerdefinierten Ressourcen MonitoringRule im Projekt-Namespace an. Role
MonitoringTarget Editor monitoringtarget-editor Bearbeiten oder ändern Sie benutzerdefinierte MonitoringTarget-Ressourcen im Projekt-Namespace. Role
MonitoringTarget Viewer monitoringtarget-viewer Sehen Sie sich die benutzerdefinierten Ressourcen MonitoringTarget im Projekt-Namespace an. Role
ObservabilityPipeline Editor observabilitypipeline-editor Bearbeiten oder ändern Sie benutzerdefinierte ObservabilityPipeline-Ressourcen im Projekt-Namespace. Role
ObservabilityPipeline-Betrachter observabilitypipeline-viewer Sehen Sie sich die benutzerdefinierten Ressourcen ObservabilityPipeline im Projekt-Namespace an. Role
Project Cortex Alertmanager Editor project-cortex-alertmanager-editor Bearbeiten Sie die Cortex Alertmanager-Instanz im Projekt-Namespace. Role
Project Cortex Alertmanager Viewer project-cortex-alertmanager-viewer Greifen Sie im Projekt-Namespace auf die Cortex Alertmanager-Instanz zu. Role
Project Cortex Prometheus Viewer project-cortex-prometheus-viewer Greifen Sie auf die Cortex Prometheus-Instanz im Projekt-Namespace zu. Role
Grafana-Betrachter für Projekte project-grafana-viewer Projektbezogene Observability-Daten in Dashboards der Grafana-Monitoring-Instanz visualisieren Role

Logging-Ressourcen

Die folgende Tabelle enthält Details zu den Berechtigungen, die jeder vordefinierten Rolle für das Protokollieren von Ressourcen zugewiesen sind:

Rollenname Name der Kubernetes-Ressource Berechtigungsbeschreibung Typ
Audit Logs Platform Restore Bucket Creator audit-logs-platform-restore-bucket-creator Erstellen Sie Sicherungs-Buckets, um die Audit-Logs der Plattform wiederherzustellen. Role
Betrachter von Audit-Logs-Plattform-Buckets audit-logs-platform-bucket-viewer Sicherungs-Buckets von Plattform-Audit-Logs ansehen Role
LoggingRule Creator loggingrule-creator Erstellen Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. Role
LoggingRule Editor loggingrule-editor Bearbeiten oder ändern Sie benutzerdefinierte LoggingRule-Ressourcen im Projekt-Namespace. Role
LoggingRule Viewer loggingrule-viewer Sehen Sie sich die benutzerdefinierten Ressourcen LoggingRule im Projekt-Namespace an. Role
LoggingTarget Creator loggingtarget-creator Erstellen Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. Role
LoggingTarget-Editor loggingtarget-editor Bearbeiten oder ändern Sie benutzerdefinierte LoggingTarget-Ressourcen im Projekt-Namespace. Role
LoggingTarget Viewer loggingtarget-viewer Sehen Sie sich die benutzerdefinierten Ressourcen LoggingTarget im Projekt-Namespace an. Role