角色定义

本部分中的表格介绍了不同的预定义角色及其权限。这些表格包含以下列：

  • 名称：界面 (UI) 中显示的角色名称。
  • Kubernetes 资源名称：相应 Kubernetes 自定义资源的名称。
  • 级别：用于指定此角色是组织级角色还是项目级角色。
  • 管理员集群或用户集群权限：相应角色对管理员集群或用户集群拥有的权限。例如，一些可能的值包括读取、写入、读取和写入，或不适用 (N/A)。
  • 升级为：用于指定此角色是否升级为其他角色。

下表详细介绍了分配给每个预定义角色的权限。每个 Google Distributed Cloud (GDC) 经过网闸隔离的受众群体组（基础架构运维人员 [IO]、平台管理员 [PA] 和应用运维人员 [AO] 受众群体组）都有单独的表格。如需了解详情，请参阅文档受众群体。

IO 受众群体组和预定义的身份

在组织的全局 API 服务器中使用 IAMRoleBinding 向具有权限的正文授予权限，以获取预定义的 IAMRole，从而在组织的所有可用区中获得一致的访问权限。

IO 受众群体组
名称 Kubernetes 资源名称 初始管理员 级别
AIS 管理员 ais-admin 错误 组织
AIS Debugger ais-debugger 错误 组织
AIS Monitor ais-monitor 错误 组织
Arbitrary Artifacts Cluster Viewer arbitrary-artifacts-distributor-cluster-role-cp 错误 组织
Arbitrary Artifacts Cluster Viewer arbitrary-artifacts-distributor-cluster-role-mp 错误 组织
任意制品分发器 arbitrary-artifacts-distributor-cp 错误 组织
任意制品分发器 arbitrary-artifacts-distributor-mp 错误 组织
ATAT 管理员 atat-admin 错误 组织
AuditLoggingTarget IO 创建者 auditloggingtarget-io-creator 错误 组织
AuditLoggingTarget IO 查看器 auditloggingtarget-io-viewer 错误 组织
AuditLoggingTarget IO 编辑器 auditloggingtarget-io-editor 错误 组织
审核日志备份恢复编辑器 audit-logs-backup-restore-editor 错误 组织
审核日志基础架构存储分区查看器 audit-logs-infra-bucket-viewer 错误 组织
AuthzPDP Debugger authzpdp-debugger 错误 组织
Backup Admin backup-admin 错误 组织
结算账单创建者 billing-invoice-creator 错误 组织
Cert Manager 系统集群调试程序 platauth-cert-manager-system-debugger 错误 组织
Dashboard IO Creator dashboard-io-creator 错误 组织
信息中心 IO 编辑器 dashboard-io-editor 错误 组织
信息中心 IO 查看器 dashboard-io-viewer 错误 组织
DBS 调试器 dbs-debugger 错误 组织
DNS 管理员 dns-admin 错误 组织
DNS 调试器
  • 组织管理员集群：
    dns-debugger
  • 根管理员集群：
    dns-debugger-root
 错误 组织
DNS 监控器 dns-monitor 错误 组织
DNS 后缀查看器 dns-admin 错误 组织
DR 管理员 dr-admin 错误 组织
DR Restore Admin dr-restore-admin 错误 组织
Emergency SSH Creds Admin emergencysshcreds-admin 错误 组织
EZ Debugger ez-debugger 错误 组织
Gatekeeper 管理员 gatekeeper-admin 错误 组织
DR 系统管理员 dr-system-admin 错误 组织
FluentBit IO Creator fluentbit-io-creator 错误 组织
FluentBit IO 查看器 fluentbit-io-viewer 错误 组织
FluentBit IO 编辑器 fluentbit-io-editor 错误 组织
Gemini 制品集群查看器 gemini-artifacts-distributor-cluster-role 错误 组织
Gemini 制品分发者 gemini-artifact-distributor 错误 组织
Grafana 调试器 grafana-debugger 错误 项目
Grafana 查看器 grafana-viewer 错误 组织
Harbor 实例凭据轮替器 harbor-instance-cred-rotator 错误 项目
Harbor 实例调试程序 harbor-instance-debugger 错误 组织
Harbor 实例调试程序 harbor-instance-debugger-cp 错误 组织
Harbor 实例调试器项目角色 harbor-instance-debugger 错误 项目
Harbor Instance Operator harbor-instance-operator 错误 组织
硬件管理员 hardware-admin 错误 组织
HSM 管理员 hsm-admin 错误 组织
HSM 系统 Secret 监控器 hsm-system-secret-monitor 错误 组织
HSM 系统密钥轮替器 hsm-system-secret-rotator 错误 组织
HWDR 管理员 hardware-dr-admin 错误 组织
HWDR 查看器 hwdr-viewer 错误 组织
Kiali Admin kiali-admin 错误 组织
KMS 管理员 kms-admin 错误 组织
KMS 系统调试程序 kms-system-debugger 错误 组织
KUB IPAM Debugger kub-ipam-debugger 错误 组织
KUB Monitor kub-monitor 错误 组织
LogCollector IO 创建者 logcollector-io-creator 错误 组织
LogCollector IO 查看器 logcollector-io-viewer 错误 组织
LogCollector IO 编辑器 logcollector-io-editor 错误 组织
LoggingRule IO 创建者 loggingrule-io-creator 错误 组织
LoggingRule IO 查看器 loggingrule-io-viewer 错误 组织
LoggingRule IO 编辑器 loggingrule-io-editor 错误 组织
LoggingTarget IO 创建者 loggingtarget-io-creator 错误 组织
LoggingTarget IO 查看器 loggingtarget-io-viewer 错误 组织
LoggingTarget IO 编辑器 loggingtarget-io-editor 错误 组织
日志查询 API 查询器 log-query-api-querier 错误 项目
MonitoringRule IO Creator monitoringrule-io-creator 错误 组织
MonitoringRule IO 查看器 monitoringrule-io-viewer 错误 组织
MonitoringRule IO Editor monitoringrule-io-editor 错误 组织
MonitoringTarget IO Creator monitoringtarget-io-creator 错误 组织
MonitoringTarget IO 查看器 monitoringtarget-io-viewer 错误 组织
MonitoringTarget IO 编辑器 monitoringtarget-io-editor 错误 组织
MZ Global API Portforward mz-global-api-portforward 错误 组织
ObservabilityPipeline IO Creator observabilitypipeline-io-creator 错误 组织
ObservabilityPipeline IO 查看器 observabilitypipeline-io-viewer 错误 组织
ObservabilityPipeline IO 编辑器 observabilitypipeline-io-editor 错误 组织
Observability Admin observability-admin 错误 组织
Observability Admin Debugger observability-admin-debugger 错误 组织
可观测性调试器 observability-debugger 错误 组织
可观测性系统调试程序 observability-system-debugger 错误 组织
Observability Viewer observability-viewer 错误 组织
OCLCM Debugger
  • 组织管理员集群：
    oclcm-debugger
  • 根管理员集群：
    oclcm-debugger-root
 错误 组织
OCLCM Viewer
  • 组织管理员集群：
    oclcm-viewer
  • 根管理员集群：
    oclcm-viewer-root
 错误 组织
组织管理员 organization-admin 错误 组织
组织结算管理员 organization-billing-admin 错误 组织
组织结算管理员系统集群 organization-billing-admin-system-cluster 错误 组织
组织结算查看器 organization-billing-viewer 错误 组织
组织系统制品管理管理员 organization-system-artifact-management-admin 错误 组织
PERF Admin Monitor perf-admin-monitor 错误 组织
PERF Admin Resource Maintainer perf-admin-resource-maintainer 错误 项目
PERF Debugger perf-debugger 错误 项目
PERF 系统监控器 perf-system-monitor 错误 项目
PERF 系统资源维护人员 perf-system-resource-maintainer 错误 项目
PNET Debugger pnet-debugger 错误 组织
PNET Monitor pnet-monitor 错误 组织
政策管理员 policy-admin 错误 组织
政策管理中心 policy-manager 错误 组织
远程记录器管理员 remote-logger-admin 错误 组织
远程记录器查看器 remote-logger-viewer 错误 组织
Root Cortex Alertmanager 编辑者 root-cortex-alertmanager-editor 错误 组织
Root Cortex Alertmanager Viewer root-cortex-alertmanager-viewer 错误 组织
根 Cortex Prometheus 查看器 root-cortex-prometheus-viewer 错误 组织
根会话管理员 root-session-admin 错误 组织
Security Admin security-admin 正确 组织
Security Viewer security-viewer 错误 组织
SERV Admin 调试器 serv-admin-debugger 错误 组织
SERV 管理员监控器 serv-admin-monitor 错误 组织 ClusterRole
SERV Admin 监控 Secret serv-admin-monitor-secrets 错误 组织 Role
SERV Admin Secret Monitor serv-admin-secret-monitor 错误 组织 Role
Service Now Admin service-now-admin 错误 项目
Service Now Admin service-now-admin 错误 项目
SIEM Export Infra Creator siemexport-infra-creator 错误 组织
SIEM Export Infra Editor siemexport-infra-editor 错误 组织
SIEM Export Infra Viewer siemexport-infra-viewer 错误 组织
SiemInfraForwarder IO Creator sieminfraforwarder-io-creator 错误 组织
SiemInfraForwarder IO 编辑器 sieminfraforwarder-io-editor 错误 组织
SiemInfraForwarder IO 查看器 sieminfraforwarder-io-viewer 错误 组织
系统制品管理管理员 system-artifact-management-admin 错误 组织
System Artifact Management Secrets Admin system-artifact-management-secrets-admin 错误 组织
系统 Artifact Registry Harbor 管理员 sar-harbor-admin 错误 组织
系统制品注册表 Harbor 读取 sar-harbor-read 错误 组织
系统 Artifact Registry Harbor ReadWrite sar-harbor-readwrite 错误 组织
系统制品注册调试器
  • 组织管理员集群：
    sar-debugger
  • 根管理员集群：
    sar-debugger-root
 错误 组织
系统制品注册表监控器
  • 组织管理员集群：
    sar-monitor
  • 根管理员集群：
    sar-monitor-root
 错误 组织
系统集群管理员 system-cluster-admin 错误 组织
系统集群 DNS 调试器 system-cluster-dns-debugger 错误 组织
系统集群 UNET 调试器 system-cluster-unet-debugger 错误 组织
系统集群 UNET 监控器 system-cluster-unet-monitor 错误 组织
系统集群 Vertex AI 调试器 system-cluster-vai-debugger 错误 组织
系统集群查看器 system-cluster-viewer 错误 组织
系统项目虚拟机管理员 system-project-vm-admin 错误 项目
Tenable Nessus 管理员 tenable-nessus-admin 错误 项目
Tenable Nessus 管理员 tenable-nessus-system-admin 错误 项目
Transfer Appliance 请求管理员 transfer-appliance-request-admin 错误 组织
界面调试器 ui-debugger 错误 组织
UNET CLI 组织管理员监控器 unet-cli-org-admin-monitor 错误 组织
UNET CLI Root Admin Monitor unet-cli-root-admin-monitor 错误 组织
UNET CLI 系统监控器 unet-cli-system-monitor 错误 组织
UNET CLI 用户监控器 unet-cli-user-monitor 错误 组织
用户集群 UNET 调试器 user-cluster-unet-debugger 错误 组织
升级管理员 upgrade-admin 错误 组织
升级 Debugger upgrade-debugger 错误 组织
用户集群调试器 user-cluster-debugger 错误 组织
用户集群 DNS 调试器 user-cluster-dns-debugger 错误 组织
用户集群 UNET 调试器 user-cluster-unet-debugger 错误 组织
用户集群 UNET 监控器 user-cluster-unet-monitor 错误 组织
Vertex AI 调试器 vertex-ai-debugger 错误 组织
组织管理员集群的 VPN 调试器 vpn-debugger 错误 项目

IO 访问角色

IO 受众群体组
名称 组织管理员集群权限 用户集群权限 升级为
AIS 管理员
  • GKE Identity Service pod 部署：读取和写入
  • AIS 加密密钥：删除
 不适用 不适用
AIS Debugger AIS 资源：创建、读取、更新、删除和修补 不适用 不适用
AIS Monitor iam-system 命名空间中的 AIS 资源：读取和写入 不适用 不适用
Arbitrary Artifacts Cluster Viewer 基础架构集群控制平面 infra-cp 命名空间中的对象存储分区：列出 不适用 不适用
Arbitrary Artifacts Cluster Viewer 基础架构集群管理平面 infra-mp 命名空间中的对象存储分区：列出 不适用 不适用
任意制品分发器 基础架构集群控制平面 infra-cp 命名空间中包含 model-artifact-registry 资源的存储分区：获取、读取对象和写入对象 不适用 不适用
任意制品分发器 基础架构集群管理平面 infra-mp 命名空间中包含 model-artifact-registry 资源的对象存储分区：获取、读取对象和写入对象 不适用 不适用
ATAT 管理员
  • Organizations：已读
  • Portfolios：读取和写入
  • SecretForwarders：已读
  • Secrets（名称：atat-portfolio）：读取和写入
  • ConfigMaps（名称：atat-idp-config）：读取和写入
  • Deployments（名称：atat-frontend）：读取和写入
  • Namespaces（名称：atat-system）：读取
  • Addon 自定义资源：读取
 不适用 不适用
AuditLoggingTarget IO 创建者 AuditLoggingTarget 自定义资源：读取和写入 不适用 不适用
AuditLoggingTarget IO 编辑器 AuditLoggingTarget 自定义资源：读取和写入 不适用 不适用
AuditLoggingTarget IO 查看器 AuditLoggingTarget 自定义资源：读取 不适用 不适用
审核日志备份恢复编辑器 备份存储分区：读取和写入 不适用 不适用
审核日志基础架构存储分区查看器 备份存储分区：读取 不适用 不适用
AuthzPDP Debugger
  • AuthzPDP 服务：读取和更新
  • DNS 部署：读取、修补和更新
 不适用 不适用
Backup Admin
  • 备份和恢复方案、手动备份和恢复请求、删除备份请求以及恢复：创建、读取和删除
  • 备份、卷备份和卷恢复：读取
  • 备份存储库：读取和创建
 不适用 不适用
结算账单创建者 不适用
  • 账单：读取、创建和修补
  • Pod：创建和读取
  • 组织：读取
 不适用
Cert Manager 系统集群调试程序 证书、证书请求、签发者、集群签发者、质询、订单：获取、列出、观看、更新、修补、删除和创建 不适用 不适用
Dashboard IO Creator Dashboard 自定义资源：读取和写入 不适用 不适用
信息中心 IO 编辑器 Dashboard 自定义资源：读取和写入 不适用 不适用
信息中心 IO 查看器 Dashboard 自定义资源：读取 不适用 不适用
DBS 调试器 配置映射、PersistentVolumeClaims、事件、Pod、Pod 日志、服务、服务账号、部署、备份和数据库：读取 不适用 不适用
DNS 管理员
  • DNS 文件和安全密钥：创建、读取、更新和删除
  • DNSRegistration 自定义资源 (CR)：创建、读取和更新
  • DNS 服务和解析器：读取和更新
 不适用 不适用
DNS 调试器 dns-debugger：
  • ConfigMap 和 Secret：创建、读取、更新和删除
  • DNS 注册：创建、读取和更新
  • 服务：读取和更新
  • 部署和部署日志：读取、修补和更新
  • Pod：创建和读取
  • Pod 日志：读取
 dns-debugger-root：
  • ConfigMap 和 Secret：创建、读取和删除
  • DNS 注册：创建和读取
  • 服务：读取和更新
  • 部署和部署日志：读取、修补和更新
  • Pod：创建和读取
  • Pod 日志：读取
 不适用
DNS 监控器 dns-monitor：
Configmap、Secret、DNS 自定义资源：读取		 dns-monitor-root：
Configmap、Secret、DNS 自定义资源、DNS 注册 API、DNS 服务、DNS 部署：读取		 不适用
DNS 后缀查看器 不适用 DNS 后缀 configmap：读取 不适用
DR 管理员
  • DNS 注册、备份、服务和服务条目：阅读
  • Configmap、部署、灾难恢复配置和 pod：读取和修补
  • Secret：创建
  • web-tls、gitlab-rails-secret、gitlab-configsync-ro-token、git-creds 和 iac-creds：读取、修补和删除
  • 备份存储库、备份方案和手动备份请求：读取、创建、修补和删除
  • 恢复：读取、创建和删除
 不适用 不适用
DR Restore Admin
  • Backups：已读
  • Restores：读取、创建和删除
 不适用 不适用
Emergency SSH Creds Admin 不适用 EmergencySshCredentials: 创建、读取和修补 不适用
EZ Debugger EasySaaS 资源和维护政策资源：创建、读取、删除、更新和修补 不适用 不适用
FluentBit IO Creator FluentBit 自定义资源：读取和写入 不适用 不适用
FluentBit IO 编辑器 FluentBit 自定义资源：读取和写入 不适用 不适用
FluentBit IO 查看器 FluentBit 自定义资源：读取 不适用 不适用
Gatekeeper 管理员
  • 部署：读取和修补
  • Secret：读取、修补和更新
 不适用 不适用
GDCH DR Admin Secrets、存储分区、角色绑定、角色和服务账号：读取和写入 不适用 不适用
Gemini Artifacts Cluster Viewer 对象存储分区：列出 不适用 不适用
Gemini 制品分发者
  • 对象存储分区：获取、读取对象和写入对象
  • ConfigMap resources:: 获取
 不适用 不适用
Grafana 查看器 GrafanaSystem 和 Grafana：读取和写入 不适用 不适用
Grafana 调试器 应用、部署、有状态集和 pod：读取、更新、删除和修补 应用、部署、有状态集和 pod：读取、更新、删除和修补 不适用
Harbor 实例凭据轮替器 Secret：创建、获取和删除 不适用 不适用
Harbor 实例调试程序
  • Harbor 实例：创建、获取、列出、更新、修补和删除
  • Harbor 实例状态：获取、修补和更新
  • 影子项目：创建、删除、获取、列出、更新和观看
  • Harbor 实例制品注册表自定义资源定义：获取、列出和修补
  • 部署和部署日志：获取、修补和更新
  • 服务：获取和更新
  • 部署和部署日志：获取、修补和更新
  • Pod 和 pod 日志：获取、列出和观看
  • Pod 和 pod exec：创建
  • 项目网络政策：获取、列出和观看
  • 数据库集群：获取、列出和观看
  • 审核日志记录目标：获取、列出和观看
  • 日志记录目标：获取、列出、观看、更新和删除
  • 存储分区：获取、列出和观看
  • 授权政策：获取、列出、观看、更新和删除
 不适用 不适用
Harbor 实例调试程序
  • StatefulSet、StatefulSet 日志、部署和部署日志：获取、列出、观看、修补、更新和删除
  • 服务：获取、列出、观看、修补、更新和删除
  • Pod 和 pod 日志：获取、列出、观看、修补、更新和删除
  • Pod 和 pod exec：创建
  • Secret 和 `ConfigMap` 资源：获取、列出、观看、更新和删除
  • 永久性卷声明：获取、列出、观看、更新和修补
 不适用 不适用
Harbor 实例调试器项目角色 Secret：获取、列出、观看、更新和删除 不适用 不适用
Harbor Instance Operator 部署和部署日志：获取、修补和更新 不适用 不适用
硬件管理员 与硬件相关的 CRD：读取和写入 不适用 不适用
HSM 管理员 不适用
  • HSM 状态、集群、租户、密钥和 CertificateSigningRequests：创建、读取、更新、删除和修补
  • Pod、部署、命名空间、服务、组织、AuditLoggingTargets、NtpServers、HwDrDevices：读取
 不适用
HSM 系统 Secret 监控器 不适用 hsm-system 命名空间中的 Secret：获取和读取 不适用
HSM 系统密钥轮替器 不适用 hsm-system 命名空间中的 Secret：获取、读取、更新和修补 不适用
HWDR 管理员
  • HWDR 设备：读取和删除
  • 备份方案、Pod、日志：读取
 不适用 不适用
HWDR 查看器 不适用 备份方案：读取 不适用
Kiali Admin 不适用
  • Istio authorization：读取和写入
 不适用
KMS 管理员
  • AEADKey、SigningKey、KeyImport、KeyExport、RotationJob 和 pod：读取
  • 部署：读取、更新和修补
 不适用 不适用
KMS 管理员 不适用
  • KMS 部署：获取、读取、更新和修补
  • KMS 部署日志、Pod 和 Pod 日志：获取和读取
 不适用
KUB IPAM Debugger IPAM 资源：读取和写入 不适用 不适用
KUB Monitor KUB 资源：阅读 不适用 不适用
LogCollector IO 创建者 LogCollector 自定义资源：读取和写入 不适用 不适用
LogCollector IO 编辑器 LogCollector 自定义资源：读取和写入 不适用 不适用
LogCollector IO 查看器 LogCollector 自定义资源：读取 不适用 不适用
LoggingRule IO 创建者 LoggingRule 自定义资源：读取和写入 不适用 不适用
LoggingRule IO 编辑器 LoggingRule 自定义资源：读取和写入 不适用 不适用
LoggingRule IO 查看器 LoggingRule 自定义资源：读取 不适用 不适用
LoggingTarget IO 创建者 LoggingTarget 自定义资源：读取和写入 不适用 不适用
LoggingTarget IO 编辑器 LoggingTarget 自定义资源：读取和写入 不适用 不适用
LoggingTarget IO 查看器 LoggingTarget 自定义资源：读取 不适用 不适用
日志查询 API 查询器 Log Query API 项目日志：读取 不适用 不适用
MonitoringRule IO Creator MonitoringRule 自定义资源：读取和写入 不适用 不适用
MonitoringRule IO Editor MonitoringRule 自定义资源：读取和写入 不适用 不适用
MonitoringRule IO 查看器 MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget IO Creator MonitoringTarget 自定义资源：读取和写入 不适用 不适用
MonitoringTarget IO 编辑器 MonitoringTarget 自定义资源：读取和写入 不适用 不适用
MonitoringTarget IO 查看器 MonitoringTarget 自定义资源：读取 不适用 不适用
MZ Global API Portforward 全局 API pod：读取和写入 不适用 不适用
ObservabilityPipeline IO Creator ObservabilityPipeline 自定义资源：读取和写入 不适用 不适用
ObservabilityPipeline IO 编辑器 ObservabilityPipeline 自定义资源：读取和写入 不适用 不适用
ObservabilityPipeline IO 查看器 ObservabilityPipeline 自定义资源：读取 不适用 不适用
Observability Admin
  • obs-system 命名空间：读取
  • Anthos 审核日志转发器和 Anthos 日志转发器：更新、修补和删除
  • obs-system 命名空间：读取
  • audit-logs-loki、loki、cortex、anthos-audit-logs-forwarder、anthos-log-forwarder：更新、修补和删除
 不适用
Observability Admin Debugger
  • obs-system 命名空间：读取、管理员
  • DaemonSet、部署、StatefulSet、Secret：读取、创建、更新、修补和删除
  • 证书：读取
  • Deployment、StatefulSet、DaemonSet、Secret、ConfigMap：读取、创建、删除、修补和更新
  • 证书：读取
 不适用
可观测性调试器
  • Deployment、StatefulSet、DaemonSet、Secret、ConfigMap：读取、创建、删除、修补和更新
  • 证书：读取
 不适用 不适用
可观测性系统调试程序
  • Deployment、StatefulSet、DaemonSet、Secret、ConfigMap：读取、创建、删除、修补和更新
  • 证书：读取
 不适用 不适用
Observability Viewer obs-system 命名空间：读取 obs-system 命名空间：读取 不适用
OCLCM Debugger oclcm-debugger：
  • 组件：创建和读取
  • 组件推出和子组件：读取、修补和更新
  • 子组件替换：创建、读取、更新和修补
 oclcm-debugger-root：
  • 组件：创建和读取
  • 组件推出和子组件：读取、修补和更新
  • 子组件替换：创建、读取、更新和修补
 不适用
OCLCM Viewer oclcm-viewer：
  • 组件、组件发布、子组件、子组件替换项：阅读
 oclcm-viewer-root：
  • 组件、组件发布、子组件和子组件替换项：阅读
 不适用
组织管理员
  • 组织自定义资源 (CR)：读取和写入
  • 组织升级和发布元数据：读取
 不适用 不适用
组织结算管理员
  • Secret、存储分区、数据库备份方案、数据库集群：创建、读取、更新、修补和删除
  • Pod、数据库导入、数据库导出、数据库恢复：创建、读取和删除
  • 作业、Cron 作业、结算资源：阅读
 不适用 不适用
组织结算管理员系统集群 不适用
  • Pod：创建、读取、更新、修补和删除
  • 备份代码库和证书：读取、更新和修补
 不适用
组织结算查看器 结算资源、组织、Secret 和 Pod：读取 不适用 不适用
组织系统制品管理管理员
  • Harbor 项目：管理员、读取、写入、查看、创建、修补和删除
  • Harbor 用户凭据：读取、创建和删除
 不适用 不适用
PERF Admin Monitor PERF 存储分区、服务账号和 Secret：阅读 不适用 不适用
PERF Admin Resource Maintainer
  • 虚拟机资源、存储分区、角色、角色绑定、项目服务账号和 KMS 密钥：读取和删除
  • 服务账号和密钥：读取
 不适用 不适用
PERF Debugger
  • Jobs：创建、读取和删除
  • CronJobs 和 ConfigMap：创建、读取、修补和删除
 不适用 不适用
PERF 系统监控器 Pod、configmap、cron 作业：阅读 不适用 不适用
PERF 系统资源维护人员
  • 服务和服务账号：读取和删除
  • 作业和 Cron 作业：阅读
 不适用 不适用
PNET Debugger 不适用
  • PNET 部署和部署日志：读取、修补和更新
  • Pod、Pod 日志、子网声明和交换机：阅读
 不适用
PNET Monitor 不适用 PNET 部署、部署日志、Pod、Pod 日志、子网声明和交换机：读取 不适用
政策管理员 限制：创建、修改和删除 不适用 不适用
远程记录器管理员 部署：读取、更新、修补和删除 部署：读取、更新、修补和删除 不适用
远程记录器查看器 部署：读取 部署：读取 不适用
Root Cortex Alertmanager 编辑者 不适用 Cortex Alertmanager、日志记录规则和监控规则自定义资源：创建、删除、读取、修补和更新 不适用
Root Cortex Alertmanager Viewer 不适用 Cortex Alertmanager、日志记录规则和监控规则自定义资源：请参阅 不适用
根 Cortex Prometheus 查看器 不适用 Cortex 系统和 Cortex Prometheus：请参阅 不适用
根会话管理员 不适用 Istio 资源管理器：创建、读取、更新、删除和修补 不适用
Security Admin
  • IAMRoleBinding 和 IAMRole：创建、读取、更新和删除
  • GKE Identity Service 自定义资源 (CR)：读取和写入
 不适用 组织 IAM 管理员和所有其他 IO 角色
Security Viewer
  • IAMRoleBinding：已读
  • IAMRole：已读
  • GKE Identity Service 自定义资源 (CR)：读取
 不适用 不适用
SERV Admin 调试器 ClusterRoleBinding
  • Servers：获取、列出、修补、更新、删除、观看
  • Baremetalhosts：获取、列出、修补、更新、删除、观看
  • Certificates：获取、列出、修补、更新、删除、观看
  • Ospolicies：获取、列出、修补、更新、删除、观看
  • Deployments：获取、列出、更新、修补、观看
  • Deployments/Scale：获取、列出、更新、修补、观看
  • Deployments/Logs：获取、列出、更新、修补、观看
  • Pods：获取、列出、观看
  • Pods/Logs：获取、列出、观看
  • Nodepools：获取、列出、观看
  • Nodepoolclaims：获取、列出、观看
  • Nodeupgradetasks：获取、列出、更新、修补、观看
  • Trafficpolicies：获取、列出、更新、修补、观看
  • Cells：获取、列出、观看
  • Ocittopologies：获取、列出、观看
  • Torswitches：获取、列出、观看
  • Organizations：获取、列出、观看
  • Hsmclusters：获取、列出、观看
 不适用 不适用
SERV Admin 监控 Secret RoleBinding
  • Secrets：获取、列出、修补、更新、删除、观看
 不适用 不适用
SERV 管理员监控器 ClusterRoleBinding
  • Servers：获取、列出、观看
  • Baremetalhosts：获取、列出、观看
  • Certificates：获取、列出、观看
  • Ospolicies：获取、列出、观看
  • Deployments：获取、列出、观看
  • Deployments/Scale：获取、列出、观看
  • Deployments/Logs：获取、列出、观看
  • Pods：获取、列出、观看
  • Pods/Logs：获取、列出、观看
  • Nodepools：获取、列出、观看
  • Nodeupgradetasks：获取、列出、观看
  • Trafficpolicies：获取、列出、观看
  • Cells：获取、列出、观看
  • Ocittopologies：获取、列出、观看
 不适用 不适用
SERV Admin Secret Monitor RoleBinding
  • Secrets：获取、列出、观看
 不适用 不适用
Service Now Admin Dnsregistrations、Projectnetworkpolicies、Virtualservices、Envoyfilters、Destinationrules、Monitoringtargets、Monitoringrules、Dashboards、Probes：读写 不适用 不适用
Service Now Admin 不适用 服务、configmap、Pod 日志和 Secret：读取和写入 不适用
SIEM Export Infra Creator SIEMInfraForwarder 自定义资源和 Secret：获取、创建和读取 SIEMInfraForwarder 自定义资源和 Secret：获取、创建和读取 不适用
SIEM Export Infra Editor SIEMInfraForwarder 自定义资源和 Secret：获取、读取、更新、删除和修补 SIEMInfraForwarder 自定义资源和 Secret：获取、读取、更新、删除和修补 不适用
SIEM Export Infra Viewer SiemInfraForwarder 自定义资源和 Secret：读取 SiemInfraForwarder 自定义资源和 Secret：读取 不适用
系统制品管理管理员 HarborProjects：管理员，创建、读取、写入、删除和查看
  • Harbor 项目和用户凭据：创建、删除、修补和读取
  • HarborProjects：管理员，读取，写入
  • 分发制品：创建、删除、更新和读取
  • image-label-map configmap：创建、删除、更新和读取
  • 服务器、信任库 configmap：读取
 不适用
System Artifact Management Secrets Admin 不适用
  • 集群内注册表：读取
  • 升级注册表镜像：创建、读取、更新和删除
 不适用
系统 Artifact Registry Harbor 管理员 Harbor 项目：创建、读取、更新、修补和删除 Harbor 项目：创建、读取、更新、修补和删除 不适用
系统制品注册表 Harbor 读取 不适用 Harbor 项目：读取 不适用
系统 Artifact Registry Harbor ReadWrite 不适用 Harbor 项目：创建、读取和写入 不适用
系统制品注册调试器 sar-debugger：
  • Harbor 集群、Secret、分发政策、手动分发和 ConfigMap：创建、读取、更新、修补和删除
  • Harbor 用户凭据、PVC、Pod 和 Harbor 机器人账号：创建、读取和删除
  • 发布元数据、组织、数据库集群、Harbor 项目、证书、服务器和集群：请参阅
  • 数据库和 CRD：读取和删除
  • 部署：读取、更新、修补和删除
  • 永久性卷：读取、更新和修补
 sar-debugger-root：
  • Harbor 集群、Secret、分发政策、手动分发和 ConfigMap：创建、读取、更新、修补和删除
  • PVC、Pod 和 Harbor 机器人账号：创建、读取和删除
  • 发布元数据、组织、数据库集群、Harbor 项目、证书、服务器和集群：请参阅
  • 数据库和 CRD：读取和删除
  • 部署：读取、更新、修补和删除
  • 永久性卷：读取、更新和修补
 不适用
系统制品注册表监控器 sar-monitor：
  • Harbor 集群、Secret 和 CRD：读取
  • Harbor 用户凭据：创建、读取和删除
 sar-monitor-root：
Harbor 集群、Secret 和 CRD：读取		 不适用
系统集群管理员 不适用 系统集群：创建、删除、更新和读取 不适用
系统集群 DNS 调试器 不适用
  • 部署和部署日志：读取
  • Pod：创建和读取
 不适用
系统集群 UNET 调试器
  • Configmaps：获取、创建和更新
  • 部署、部署日志、守护进程集和守护进程集日志：获取、修补和更新
  • Pod 和 pod 日志：获取、读取、创建和删除
  • 服务、网络政策和 Cilium：获取、读取、创建、更新和删除
  • 流日志和流日志状态：获取、读取、创建、修补、更新和删除
 不适用 不适用
系统集群 UNET 监控器 项目、项目网络政策、configmap、secret、证书、软件包、deployment、daemon set、stateful set、pod、pod 日志、服务、端点、端点切片、网络政策、网络日志记录、网络、网络接口、联网、虚拟机、虚拟机实例、集群 CIDR 配置、流日志、流日志状态、BGP 对等互联方、BGP 播发的路由、BGP 收到的路由、BGP 会话、BGP 负载平衡器、出站 NAT 政策、网络网关组、网络网关节点、扁平 IP 模式、多集群连接配置、VPN 隧道、流量转向、configmap 转发器、secret 转发器、健康检查、节点池声明、节点池和插件配置：获取和读取 不适用 不适用
系统集群 Vertex AI 调试器 Vertex AI 平台：创建、读取、更新、修补和删除 不适用 不适用
系统集群查看器 不适用 系统集群：读取和写入 不适用
Tenable Nessus 管理员 DestinationRules、DnsRegistrations、ProjectNetworkPolicies、PeerAuthentication、VirtualServices、AuditLoggingTargets 和密钥：读取和写入
  • DestinationRules、VirtualServices、DnsRegistrations、PeerAuthentications、Pod、Service、Secret：读写
  • 系统集群：读取、放置和更新
  • 虚拟机、虚拟机磁盘、虚拟机访问请求、虚拟机外部访问、虚拟机备份请求、虚拟机备份、虚拟机恢复请求、虚拟机恢复：创建、读取、更新、删除和修补
  • 虚拟机重启：更新
  • 虚拟机映像、虚拟机备份方案、虚拟机备份模板：阅读
 不适用
Tenable Nessus 管理员 用于管理 Nessus 的网络组件：读取和写入 不适用 不适用
Transfer Appliance 请求管理员 Transferappliancerequests：读取和写入 不适用 不适用
界面调试器 后端界面服务器：读取、修补、更新 不适用 不适用
UNET CLI 组织管理员监控器
  • 网络资源、Secret、ConfigMap、Cilium 端点、虚拟机、虚拟机运行时、集群和命名空间：读取
  • 播客：阅读和创建
 不适用 不适用
UNET CLI Root Admin Monitor 不适用
  • 网络资源、Secret、ConfigMap、Cilium 端点和命名空间：读取
  • 播客：阅读和创建
 不适用
UNET CLI 系统监控器 不适用
  • 网络资源、Secret、ConfigMap、Cilium 端点、虚拟机、虚拟机运行时、部署、集群、命名空间、CRD：读取
  • 播客：阅读和创建
 不适用
UNET CLI 用户监控器 不适用
  • 网络资源、Secret、ConfigMap、Cilium 端点、虚拟机 (VM)、VM 运行时、部署、集群、命名空间、CRD：读取
  • 播客：阅读和创建
 不适用
升级管理员 不适用
  • Harbor CA 证书 Secret 和操作系统升级：读取
  • ReleaseMetadata 和 UserClusterMetadata：创建和读取
  • Servers、CephClusters 和 AuditLoggingTargets：读取
  • 插件升级、Configmap、根管理员集群、CRD：读取、更新和修补
 不适用
升级 Debugger 不适用
  • 升级资源：创建、读取、更新、删除和修补
  • Harbor 项目：Harbor-admin
 不适用
用户集群调试器 不适用 用户集群：获取、读取、创建、更新、修补和删除 不适用
用户集群 DNS 调试器 不适用
  • 部署、部署日志、Pod、Pod 日志：读取
  • Pod：创建
 不适用
用户集群 UNET 调试器 不适用
  • Configmap：获取、更新和读取
  • 部署、部署日志、守护进程集和守护进程集日志：获取、读取、修补和更新
  • Pod 和 pod 日志：获取、读取、创建和删除
  • 服务、Cilium 和网络政策：获取、读取、创建、更新和删除
  • 流日志和流日志状态：获取、读取、创建、修补、更新和删除
 不适用
用户集群 UNET 监控器 不适用 项目、项目网络政策、configmap、Secret、证书、证书签发者、软件包、部署、DaemonSet、StatefulSet、Pod、Pod 日志、服务、端点、端点切片、网络政策、网络日志记录、Cilium、网络、网络接口、虚拟机、虚拟机实例、网络、集群 CIDR 配置、扁平 IP 模式、configmap 转发器、Secret 转发器、健康检查、节点池声明、节点池、AddOn 配置、流日志和流日志状态、BGP 对等互联方、BGP 播发的路由、BGP 接收的路由、BGP 会话、BGP 负载平衡器、出站 NAT 政策、网络网关组、网络网关节点、扁平 IP 模式、多集群连接配置、VPN 隧道和流量转向：获取和读取 不适用
Vertex AI 调试器 不适用
  • Vertex AI 平台、部署、项目、软件包：创建、读取、更新、删除和修补
  • 密文：读取和删除
  • 预训练 API：读取
 不适用
管理平面 API 服务器的 VPN 调试器 不适用
  • VPNGateway：创建、读取、写入
  • PeerGateway：创建、读取、写入
  • VPNBGPPeer：创建、读取、写入
  • VPNTunnel：创建、读取、写入
 不适用
适用于边界集群的 VPN 调试器 不适用
  • NetworkGatewayNodes：创建、读取、写入
  • NetworkGatewayGroups：创建、读取、写入
  • BGPAdvertisedRoutes：创建、读取、写入
  • BGPReceivedRoutes：创建、读取、写入
  • BGPPeers：创建、读取、写入
  • BGPSessions：创建、读取、写入
  • VPNTunnels：创建、读取、写入
  • TrafficSteering：创建、读取、写入
 不适用

PA 受众群体组和预定义的身份

PA 受众群体组
名称 Kubernetes 资源名称 初始管理员 级别
AI Platform Admin ai-platform-admin 错误 组织
结算查看者 billing-viewer 错误 组织
Bucket Admin bucket-admin 错误 组织
存储分区对象管理员 bucket-object-admin 错误 组织
存储分区对象查看器 bucket-object-viewer 错误 组织
CTM Key Editor ctmkey-editor 错误 组织
CTM Key Viewer ctmkey-viewer 错误 组织
DR Backup Admin dr-backup-admin 错误 组织
DR 系统管理员 dr-system-admin 错误 组织
流日志管理员 flowlog-admin 错误 组织
流日志查看器 flowlog-viewer 错误 组织
GDCH Restrict By Attributes Policy Admin gdchrestrictbyattributes-policy-admin 错误 组织
GDCH Restricted Service Policy Admin gdchrestrictedservice-policy-admin 错误 组织
Global PNP Admin global-project-networkpolicy-admin 错误 组织
IdP 联合身份管理员 idp-federation-admin 错误 组织
Interconnect Admin interconnect-admin 错误 组织
KMS 轮替作业管理员 kms-rotationjob-admin 错误 组织
日志查询器 log-query-api-querier 错误 项目
Marketplace Service Editor marketplace-service-editor 错误 组织
Org Network Policy Admin org-network-policy-admin 错误 组织
组织会话管理员 org-session-admin 错误 组织
组织备份管理员 organization-backup-admin 错误 组织
组织集群备份管理员 organization-cluster-backup-admin 错误 组织
组织 Grafana 查看者 organization-grafana-viewer 错误 组织
组织 IAM 管理员 organization-iam-admin 正确 组织
组织 IAM 查看者 organization-iam-viewer 错误 组织
组织数据库管理员 organization-db-admin 错误 组织
组织升级管理员 organization-upgrade-admin 错误 组织
组织升级查看者 organization-upgrade-viewer 错误 组织
Project Creator project-creator 错误 组织
Project Editor project-editor 错误 组织
SIEM Export Org Creator siemexport-org-creator 错误 项目
SIEM Export Org Editor siemexport-org-editor 错误 项目
SIEM Export Org Viewer siemexport-org-viewer 错误 项目
System Cluster Backup Repository Admin system-cluster-backup-repository-admin 错误 组织
系统集群虚拟机备份管理员 system-cluster-vm-backup-admin 错误 组织
Transfer Appliance 请求创建者 transfer-appliance-request-creator 错误 组织
User Cluster Admin user-cluster-admin 错误 组织
用户集群备份管理员 user-cluster-backup-admin 错误 组织
User Cluster CRD Viewer user-cluster-crd-viewer 错误 组织
用户集群开发者 user-cluster-developer 错误 组织
VPN 管理员 vpn-admin 错误 项目
VPN 查看器 vpn-viewer 错误 项目

PA 访问角色

PA 受众群体组
名称 组织管理员集群权限 用户集群权限 升级为
AI Platform Admin AI 平台界面 (UI)：读取和写入 不适用 不适用
备份代码库管理员
  • 备份代码库：创建、读取和删除
  • 集群信息：读取
 不适用 不适用
结算查看者 SKU 说明、机器库存、机群、账单和配置：读取 不适用 不适用
Bucket Admin 存储分区和对象：读取和写入 不适用 不适用
存储分区对象管理员
  • 存储分区：读取
  • 对象：读取和写入
 不适用 不适用
存储分区对象查看器 存储分区和对象：读取 不适用 不适用
CTM Key Editor CTMKey 资源：读取和删除 不适用 不适用
CTM Key Viewer CTMKey 资源：阅读 不适用 不适用
DR Backup Admin
  • BackupRepository 资源：获取、列出、创建、修补和删除
  • BackupPlan 资源：获取、列出、创建、修补和删除
  • ManualBackupRequest 资源：获取、列出、创建、修补和删除
  • Backup 资源：获取和列出
 不适用 不适用
DR 系统管理员 密钥、存储分区、角色、角色绑定和服务账号：读取和写入 不适用 不适用
流日志管理员 流日志资源：读取和写入 不适用 不适用
流日志查看器 流日志资源：读取 不适用 不适用
GDCH Restrict By Attributes Policy Admin GDCH 受限属性政策：创建、修改和删除 不适用 不适用
GDCH Restricted Service Policy Admin GDCH 受限服务政策：创建、修改和删除 不适用 不适用
Global PNP Admin
  • 项目网络政策：获取、列出、创建、修补、更新和删除
  • 项目网络政策副本：获取、列出、创建、修补、更新和删除
 不适用 不适用
IdP 联合身份管理员 身份提供商配置和密钥：创建、读取、更新、修补和删除 不适用 不适用
Interconnect Admin
  • 互连附件：获取、列出、观看、创建、更新、删除和修补
  • 附件组：获取、列出、观看、创建、更新、删除和修补
 不适用 不适用
KMS 轮替作业管理员 RotationJob 资源：创建、读取、更新和删除 不适用 不适用
日志查询器 Log Query API 项目日志：读取 不适用 不适用
Marketplace Service Editor
  • Marketplace 服务：读取、更新和删除
  • 集群信息：读取
 不适用 不适用
Org Network Policy Admin platform 命名空间中的 OrganizationNetworkPolicy：创建、读取、更新和删除 不适用 不适用
组织会话管理员 Istio 授权资源：创建、读取、更新和删除 不适用 不适用
组织备份管理员
  • BackupRepositoryManagers、备份方案、手动备份请求、删除备份请求、备份存储库、虚拟机备份模板、虚拟机备份请求、虚拟机恢复请求和虚拟机删除备份请求：创建、读取和删除
  • Secret：创建
  • 卷备份和集群信息：读取
  • 虚拟机备份方案、虚拟机备份、虚拟机恢复：读取和删除
 不适用 不适用
组织集群备份管理员
  • ClusterBackupRepository：创建、获取、列出、观看、修补、更新和删除
  • ManualClusterBackupRequest 创建、获取、列出、观看和删除
  • ManualClusterRestoreRequest 创建、获取、列出、观看和删除
  • ClusterRestore 创建、获取、列出、观看和删除
  • ClusterBackupPlan 创建、获取、列出、观看、更新和删除
  • ClusterRestorePlan 创建、获取、列出、观看、更新和删除
  • ClusterBackup 获取、列出和观看
  • ClusterVolumeBackup 获取、列出和观看
  • ClusterVolumeRestore 获取、列出和观看
 不适用 不适用
组织 Grafana 查看者 GrafanaSystem 和 Grafana：读取和写入 不适用 不适用
组织 IAM 管理员

  • IAMRoleBinding 和 IAMRole： 创建、读取、更新和删除
  • 列出项目命名空间
 不适用 Project IAM Admin 和所有其他 PA 角色
组织 IAM 查看者
  • 基于角色的访问权限控制 (RBAC) 对象：读取
  • IAMRole 和 IAMRoleBinding：阅读
 不适用 不适用
组织数据库管理员
  • Secret、数据库版本、标志、维护政策、软件库和数据库项目属性：读取
  • 备份方案和数据库集群：创建、读取、更新和删除
  • 导入、恢复和故障转移：创建、读取和删除
 不适用 不适用
组织升级管理员 维护窗口：获取、列出、观看、更新和修补 不适用 不适用
组织升级查看者 维护窗口：获取、列出和观看 不适用 不适用
Project Creator
  • 项目自定义资源 (CR)：读取和创建
  • Fleet CR：读取和创建
  • 集群：读取
  • ATAT 投资组合密钥：读取、查看和更新
 不适用 不适用
Project Editor
  • 项目自定义资源 (CR)：读取、删除、修补、更新和查看
  • 舰队 CR：读取和删除
  • 集群 CR：读取
 不适用 不适用
SIEM Export Org Creator SIEMOrgForwarder 自定义资源和 Secret：获取、创建和读取 不适用 不适用
SIEM Export Org Editor SIEMOrgForwarder 自定义资源和 Secret：获取、读取、更新、删除和修补 不适用 不适用
SIEM Export Org Viewer SIEMOrgForwarder 自定义资源和 Secret：读取 不适用 不适用
System Cluster Backup Repository Admin 备份代码库：获取、读取、创建和删除 不适用 不适用
系统集群虚拟机备份管理员
  • 备份存储库、虚拟机备份模板、虚拟机备份请求、虚拟机恢复请求：创建、读取和删除
  • 虚拟机备份方案、虚拟机备份、虚拟机恢复：读取和删除
 不适用 不适用
Transfer Appliance 请求创建者 TransferApplianceRequest 自定义资源 (CR)：读取和创建 不适用 不适用
User Cluster Admin
  • UserClusterUpgrade：读取和写入
  • UserClusterMetadata、ClusterBgpRouters、InventoryMachines 和项目自定义资源 (CR)：读取
  • CidrClaims：创建、读取、更新和删除
  • Namespace：创建和删除
  • ClusterCidrConfigs 和集群：创建、读取、更新、修补和删除
  • NodeUpgrades：读取、创建、修补和更新
  • HarborClusters、Projects、UserClusterUpgradeRequests：读取
  • Clusters 和 NodePoolClaims：读取和写入
  • NodePools、MachineClasses、VirtualMachineTypes 和 ClusterInfos：读取
 不适用
用户集群备份管理员 不适用
  • 手动备份和恢复请求、删除备份请求、恢复和备份存储库：创建、读取、删除、更新和修补
  • 备份和恢复方案：创建、读取和删除
  • 备份、卷备份和卷恢复：读取
  • ClusterInfo：已读
 不适用
User Cluster CRD Viewer 不适用 CustomResourceDefinitions：已读 不适用
用户集群开发者 不适用 集群：读取和写入 不适用
用户集群节点查看器 不适用 集群：读取 不适用
VPN 管理员 不适用
  • VPNGateway：创建、读取、写入
  • PeerGateway：创建、读取、写入
  • VPNBGPPeer：创建、读取、写入
  • VPNTunnel：创建、读取、写入
 不适用
VPN 查看器 不适用
  • VPNGateway：已读
  • PeerGateway：已读
  • VPNBGPPeer：已读
  • VPNTunnel：已读
 不适用

AO 受众群体组和预定义的身份

AO 受众群体群组
名称 Kubernetes 资源名称 初始管理员 级别
AI OCR 开发者 ai-ocr-developer 错误 项目
AI 语音开发者 ai-speech-developer 错误 项目
AI Translation Developer ai-translation-developer 错误 项目
备份创建者 backup-creator 错误 项目
Certificate Authority Service Admin certificate-authority-service-admin 错误 项目
信息中心编辑器 dashboard-editor 错误 项目
信息中心查看器 dashboard-viewer 错误 项目
Global Load Balancer Admin global-load-balancer-admin 错误 项目
Harbor 实例管理员 harbor-instance-admin 错误 项目
Harbor Instance Viewer harbor-instance-viewer 错误 项目
Harbor 项目创建者 harbor-project-creator 错误 项目
K8s NetworkPolicy Admin k8s-networkpolicy-admin 错误 项目
KMS 管理员 kms-admin 错误 项目
KMS 创建者 kms-creator 错误 项目
KMS 开发者 kms-developer 错误 项目
KMS 密钥导出管理员 kms-keyexport-admin 错误 项目
KMS 密钥导入管理员 kms-keyimport-admin 错误 项目
KMS 查看器 kms-viewer 错误 项目
Kubernetes 网络政策管理员 k8s-networkpolicy-admin 错误 项目
负载平衡器管理员 load-balancer-admin 错误 项目
Marketplace 编辑器 marketplace-editor 错误 项目
MonitoringRule 编辑器 monitoringrule-editor 错误 项目
MonitoringRule 查看器 monitoringrule-viewer 错误 项目
MonitoringTarget 编辑器 monitoringtarget-editor 错误 项目
MonitoringTarget 查看器 monitoringtarget-viewer 错误 项目
Namespace Admin namespace-admin 错误 项目
NAT 查看器 nat-viewer 错误 项目
ObservabilityPipeline Editor observabilitypipeline-editor 错误 项目
ObservabilityPipeline Viewer observabilitypipeline-viewer 错误 项目
项目级存储分区管理员 project-bucket-admin 错误 项目
Project Bucket Object Admin project-bucket-object-admin 错误 项目
Project Bucket Object Viewer project-bucket-object-viewer 错误 项目
Project Cortex Alertmanager Viewer project-cortex-alertmanager-viewer 错误 项目
Project Cortex Prometheus 查看器 project-cortex-prometheus-viewer 错误 项目
Project Grafana Viewer project-grafana-viewer 错误 项目
Project IAM Admin project-iam-admin 正确 项目
项目 NetworkPolicy 管理员 project-networkpolicy-admin 错误 项目
项目数据库管理员 project-db-admin 错误 项目
Project DB Editor project-db-editor 错误 项目
Project DB Viewer project-db-viewer 错误 项目
Project Viewer project-viewer 错误 项目
项目虚拟机管理员 project-vm-admin 错误 项目
Project VirtualMachine Image Admin project-vm-image-admin 错误 项目
Secret Admin secret-admin 错误 项目
Secret Viewer secret-viewer 错误 项目
Service Configuration Admin service-configuration-admin 错误 项目
Service Configuration Viewer service-configuration-viewer 错误 项目
System Cluster VM Backup Creator system-cluster-vm-backup-creator 错误 项目
卷复制管理员 app-volume-replication-admin 错误 集群
Workbench Notebooks Admin workbench-notebooks-admin 错误 项目
Workbench Notebooks 查看器 workbench-notebooks-viewer 错误 项目

AO 访问角色

AO 受众群体群组
名称 组织管理员集群权限 用户集群权限 升级为
AI OCR 开发者 OCR 资源：读取和写入 不适用 不适用
AI 语音开发者 语音资源：读取和写入 不适用 不适用
AI Translation Developer 翻译资源：读写 不适用 不适用
备份创建者 不适用
  • 手动备份和恢复：创建、读取和删除
  • 备份、恢复、备份方案、恢复方案、卷备份、卷恢复、删除备份请求：读取
 不适用
Certificate Authority Service Admin 证书授权机构和证书请求：获取、列出、监控、更新、创建、删除和修补 不适用 不适用
信息中心编辑器 Dashboard 自定义资源：获取、读取、创建、更新、删除和修补 不适用 不适用
信息中心查看器 Dashboard 自定义资源：获取和读取 不适用 不适用
Global Load Balancer Admin 不适用
  • HealthCheck：获取、观看、列出、创建、修补、更新和删除
  • BackendService：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleExternal：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleInternal：获取、观看、列出、创建、修补、更新和删除
 不适用
Harbor 实例管理员 Harbor 实例：创建、读取、更新、删除和修补 不适用 不适用
Harbor Instance Viewer Harbor 实例：读取 不适用 不适用
K8s NetworkPolicy Admin NetworkPolicy 资源：创建、读取、获取、更新、删除和修补 不适用 不适用
KMS 管理员
  • AEADKey：创建、读取、更新、删除、加密和解密
  • SigningKey：创建、读取、更新、删除和签名
  • KeyImport 和 KeyExport：阅读
 不适用 不适用
KMS 创建者 AEADKey 和 SigningKey：创建和读取 不适用 不适用
KMS 开发者
  • 项目命名空间中的 AEADKeys：读取、加密和解密
  • 项目命名空间中的 SigningKeys：读取和签名
 不适用 不适用
KMS 密钥导出管理员 KeyExport 资源：创建、读取、更新和删除 不适用 不适用
KMS 密钥导入管理员 KeyImport 资源：创建、读取、更新和删除 不适用 不适用
KMS 查看器 AEADKey、SigningKey、KeyImport、KeyExport：阅读 不适用 不适用
Kubernetes 网络政策管理员 不适用 Kubernetes 网络政策：在用户集群中读取和写入 不适用
负载平衡器管理员 不适用
  • Backend：获取、观看、列出、创建、修补、更新和删除
  • HealthCheck：获取、观看、列出、创建、修补、更新和删除
  • BackendService：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleExternal：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleInternal：获取、观看、列出、创建、修补、更新和删除
 不适用
Marketplace 编辑器 不适用 服务实例：创建、更新和删除 不适用
MonitoringRule 编辑器 MonitoringRule 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringRule 查看器 MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget 编辑器 MonitoringTarget 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringTarget 查看器 MonitoringTarget 自定义资源：读取 不适用 不适用
Namespace Admin 不适用 所有资源：在项目命名空间中拥有读写权限，但不包括系统集群 不适用
NAT 查看器 不适用 部署：获取和读取 不适用
ObservabilityPipeline Editor ObservabilityPipeline 资源：获取、读取、创建、更新、删除和修补 不适用 不适用
ObservabilityPipeline Viewer ObservabilityPipeline 资源：获取并阅读 不适用 不适用
项目级存储分区管理员 存储分区：在项目命名空间中读取和写入 不适用 不适用
Project Bucket Object Admin
  • 存储分区：读取
  • 对象：读取和写入
 不适用 不适用
Project Bucket Object Viewer 存储分区和对象：读取 不适用 不适用
Project Cortex Alertmanager Viewer Cortex 系统和 Cortex Alertmanager：阅读 不适用 不适用
Project Cortex Prometheus 查看器 Cortex 系统和 Cortex Prometheus：请参阅 不适用 不适用
Project Grafana Viewer Grafana 系统和 Grafana：读取和写入 不适用 不适用
Project IAM Admin
  • IAMRoleBinding 和 IAMRole：创建、读取、更新、删除和绑定
  • ProjectServiceAccount：创建、读取、更新和删除
  • 列出项目命名空间
 不适用 所有其他 AO 角色
项目 NetworkPolicy 管理员 项目网络政策：在项目命名空间中读取和写入 不适用 不适用
项目数据库管理员
  • 数据库版本、标志、维护政策、软件库和数据库项目属性：读取
  • 备份方案和数据库集群：创建、读取、更新和删除
  • 导入、导出和恢复：创建、读取和删除
  • Secret：创建、删除和更新
  • 迁移和外部服务器：创建、读取、更新、删除和修补
 不适用 不适用
Project DB Editor
  • 数据库版本、标志、维护政策、软件库、备份计划和恢复：读取
  • 导入：创建、读取和删除
  • 数据库集群：读取和更新
  • 密文：创建和删除
 不适用 不适用
Project DB Viewer 数据库版本、标志、维护政策、软件库、备份计划、恢复、导入、导出、数据库集群和故障转移：读取 不适用 不适用
Project Viewer 项目命名空间中的所有资源：读取 不适用 不适用
项目虚拟机管理员
  • 虚拟机、磁盘、访问请求、外部访问、备份请求、备份、恢复请求、删除备份请求、恢复、密码重置请求：读取、创建、更新和删除
  • 虚拟机重启：放置
  • 虚拟机映像、备份方案和备份方案模板：读取
 不适用 不适用
Project VirtualMachine Image Admin
  • 虚拟机映像：读取
  • 虚拟机映像导入：读取和写入
 不适用 不适用
Secret Admin Kubernetes Secret：读取、创建、更新、删除和修补 不适用 不适用
Secret Viewer Kubernetes Secret：读取 不适用 不适用
Service Configuration Admin ServiceConfigurations：读取和写入 不适用 不适用
Service Configuration Viewer ServiceConfigurations：已读 不适用 不适用
System Cluster VM Backup Creator
  • 虚拟机备份请求、虚拟机恢复请求：创建、读取和删除
  • 虚拟机备份方案、虚拟机备份方案模板：阅读
  • 虚拟机备份、虚拟机恢复：读取和删除
 不适用 不适用
卷复制管理员 Volume failovers, volume relationship replicas： 创建、获取、列出、观看、删除 不适用 不适用
Workbench Notebooks Admin 不适用
  • 项目命名空间中的笔记本自定义资源 (CR)：创建、读取、更新和删除
  • 使用 Istio 的笔记本实例：读取和写入
  • ClusterInfo 个对象：读取
 不适用
Workbench Notebooks 查看器 不适用
  • 项目命名空间中的笔记本自定义资源 (CR)：读取
  • 使用 Istio 的笔记本实例：读取和写入
 不适用
Workload Viewer 不适用
  • 项目命名空间中的 Pod 自定义资源：读取
  • 项目命名空间中的部署自定义资源：读取
 不适用

常见角色

常见角色
名称 Kubernetes 资源名称 初始管理员 级别
AI Platform Viewer ai-platform-viewer 错误 项目
AIS Monitor ais-monitor 错误 组织
AIS Debugger ais-debugger 错误 组织
数据库选项查看器 db-options-viewer 错误 项目
DB UI 查看器 db-ui-viewer 错误 项目
DNS Key Manager dns-key-manager 错误 组织
DNS 后缀查看器 dnssuffix-viewer 错误 组织
IAM Debugger iam-debugger 错误 组织
IAM Monitor iam-monitor 错误 组织
Marketplace Service Viewer marketplace-service-viewer 错误 项目
Marketplace Viewer marketplace-viewer 错误 项目
价格计算器用户 pricingcalculator-user 错误 项目
Project Discovery Viewer projectdiscovery-viewer 错误 项目
公共图片查看器 public-image-viewer 错误 组织
系统 Artifact Registry anthos-creds Secret 监控器 sar-anthos-creds-secret-monitor 错误 组织
系统 Artifact Registry gpc-system Secret 监控器 sar-gpc-system-secret-monitor 错误 组织
系统 Artifact Registry harbor-system 密钥 Debugger sar-harbor-system-secret-debugger 错误 组织
系统制品注册表 harbor-system 密钥监控器 sar-harbor-system-secret-monitor 错误 组织
UNET CLI 监控器 unet-cli-monitor 错误 组织
UNET 调试器 unet-debugger 错误 组织
UNET Monitor unet-monitor 错误 组织
虚拟机类型查看器 virtualmachinetype-viewer 正确 组织
VM Type Viewer vmtype-viewer 错误 组织

常见的预定义身份和访问权限角色

常见角色
名称 管理员集群权限 用户集群权限 升级为
AI Platform Viewer 预训练服务：读取 不适用 不适用
AIS Monitor GKE Identity Service 资源：阅读 不适用 不适用
AIS Debugger GKE Identity Service 资源：创建、读取、更新、删除和修补 不适用 不适用
数据库选项查看器 DBS 配置：读取 不适用 不适用
DB UI 查看器 DBS 界面配置：读取 不适用 不适用
DNS Key Manager Secret 和 configmap：创建、读取、更新、删除和修补 不适用 不适用
DNS 后缀查看器 DNS 后缀配置映射：读取 不适用 不适用
IAM Debugger
  • iam-system 命名空间中的 IAM 资源：创建、读取、更新、删除和修补
  • 身份提供方配置、客户端配置、角色、集群角色、组织角色、项目角色、IAM 角色绑定：创建、读取、更新、删除和修补
 不适用 不适用
IAM Monitor
  • iam-system 命名空间中的 IAM 资源：读取
  • 身份提供方配置、客户端配置、IoAuthMethods、IAM 角色模板、IAM 角色绑定、IAM 角色：读取
 不适用 不适用
Marketplace Service Viewer 应用商店服务：读取 不适用 不适用
Marketplace Viewer 服务版本和服务实例：读取 不适用 不适用
价格计算器用户 不适用 SkuDescriptions：已读 不适用
Project Discovery Viewer 项目：读取 不适用 不适用
公共图片查看器 虚拟机映像：读取 不适用 不适用
系统 Artifact Registry anthos-creds Secret 监控器 anthos-creds 密文：获取和读取 anthos-creds 密文：获取和读取 不适用
系统 Artifact Registry gpc-system Secret 监控器 gpc-system 密文：获取和读取 gpc-system 密文：获取和读取 不适用
系统 Artifact Registry harbor-system 密钥 Debugger harbor-system 密钥：获取、创建、读取、更新、修补和删除 harbor-system 密钥：获取、创建、读取、更新、修补和删除 不适用
系统制品注册表 harbor-system 密钥监控器 harbor-system 密文：获取和读取 harbor-system 密文：获取和读取 不适用
系统项目虚拟机管理员
  • 虚拟机、虚拟机磁盘、虚拟机访问请求和虚拟机外部访问权限：创建、获取、读取、更新、删除和修补
  • 虚拟机备份模板、虚拟机备份请求、虚拟机恢复请求和虚拟机删除备份请求：创建、读取和删除
  • 虚拟机备份方案、虚拟机恢复：获取、读取和删除
  • 虚拟机备份和虚拟机映像：获取并读取
  • 虚拟机重启：更新
 不适用 不适用
UNET CLI 监控器
  • 网络、BGP 对等互联方、BGP 通告的路由、BGP 接收的路由、BGP 会话、出站 NAT 政策、网络网关组、网络网关节点、网络、网络接口、密钥、节点、Cilium 端点、虚拟机、虚拟机运行时、集群和命名空间：获取和读取
  • 播客：阅读和创建
 不适用 不适用
UNET 调试器
  • Configmap：创建和读取
  • Deployment、deployment 日志、daemon set 和 daemon set 日志：获取、修补和更新
  • Pod 和 pod 日志：获取、读取、创建和删除
  • 服务和 Cilium 集群级网络政策：获取、读取、创建、更新和删除
  • 流日志和流日志状态：获取、读取、创建、修补、更新和删除
 不适用 不适用
UNET Monitor 项目、项目网络政策、configmap、Secret、证书、证书签发者、软件包、部署、DaemonSet、StatefulSet、Pod、Pod 日志、服务、端点、端点切片、网络政策、Cilium、网络、网络接口、虚拟机、虚拟机实例、网络、集群 CIDR 配置、扁平 IP 模式、configmap 转发器、Secret 转发器、健康检查、节点池声明、节点池、插件配置、流日志和流日志状态：获取和读取 不适用 不适用
虚拟机类型查看器 不适用 虚拟机类型：读取 不适用
VM Type Viewer 虚拟机类型：读取 不适用 不适用