角色定义

本部分中的表格介绍了不同的预定义角色及其权限。这些表格包含以下列：

  • 名称：界面 (UI) 中显示的角色名称。
  • Kubernetes 资源名称：相应 Kubernetes 自定义资源的名称。
  • 级别：用于指定相应角色是组织级角色还是项目级角色。
  • 类型：相应角色的类型。例如，一些可能的值为 Role、ProjectRole、ClusterRole 或 ProjectClusterRole。
  • 绑定类型：您必须为此角色应用的绑定类型。
  • Management API 服务器或 Kubernetes 集群权限：此角色对 Management API 服务器或 Kubernetes 集群拥有的权限。例如，一些可能的值包括读取、写入、读取和写入，或不适用 (N/A)。
  • 升级为：用于指定此角色是否升级为其他角色。

角色类型

  • ClusterRole：管理 API 服务器或 Kubernetes 集群中集群范围内的 Kubernetes 基于角色的访问权限控制 (RBAC) 角色。
  • 角色：管理 API 服务器或 Kubernetes 集群中命名空间范围内的 Kubernetes RBAC 角色。
  • ProjectRole：一种自定义资源定义 (CRD)，其中定义了权限，并绑定到 Kubernetes 集群和命名空间。项目角色会以 Role 的形式传播到 Kubernetes 集群。
  • OrganizationRole：一种定义了权限的 CRD，可作为 ClusterRole 传播到 Kubernetes 集群。

预定义的身份和访问权限角色表

下表详细介绍了为基础设施运维人员 (IO)、平台管理员 (PA) 和应用运维人员 (AO) 角色分配的权限：

IO Persona，预定义的身份和访问权限角色

IO 角色
名称 Kubernetes 资源名称 初始管理员 级别 类型
Security Admin security-admin True 组织 ClusterRole
AI 模型分销商 ai-models-distributor False 组织 ClusterRole
AI 模型分销商 ai-models-infra-distributor False 组织 ClusterRole
AIS Monitor ais-monitor False 组织 Role
Anthos Identity Service Admin ais-admin False 组织 Role
APPLSTOR 监控器 applstor-monitor-cp False 组织 ClusterRole
APPLSTOR 密文轮替器 applstor-secret-rotator-cp False 组织 Role
Audit Logs Backup Restore Creator audit-logs-backup-restore-creator False 组织 Role
审核日志备份恢复编辑器 audit-logs-backup-restore-editor False 组织 Role
Audit Logs Infra Bucket Viewer audit-logs-infra-bucket-viewer False 组织 Role
AuditLoggingRule 编辑器 loggingrule-editor False 组织 ClusterRole
AuditLoggingTarget Creator auditloggingtarget-creator False 组织 ClusterRole
AuditLoggingTarget 编辑器 auditloggingtarget-editor False 组织 ClusterRole
AuditLoggingTarget 编辑器 loggingtarget-editor False 组织 ClusterRole
AuditLoggingTarget 查看者 auditloggingtarget-viewer False 组织 ClusterRole
Bundledidp Admin bundledidp-admin False 组织 Role
证书管理器监控器 platauth-cert-manager-monitor False 组织 ClusterRole
凭证轮换监控器 platauth-credential-rotation-monitor False 组织 ClusterRole
信息中心创建工具 dashboard-creator False 组织 ClusterRole
信息中心编辑器 dashboard-editor False 组织 ClusterRole
信息中心查看器 dashboard-viewer False 组织 ClusterRole
DNS 密钥监控器 dns-key-monitor False 组织 Role
DNS 监控器 dns-monitor-cp False 组织 ClusterRole
Emergency SSH Creds Admin emergencysshcreds-admin False 组织 Role
root-admin 集群中的 FeatureGate Overrider featuregate-overrider-root False 组织 ClusterRole
根组织管理员集群中的 FeatureGate Overrider（旧版） featuregate-overrider-legacy False 组织 ClusterRole
文件监控器 file-monitor-cp False 组织 ClusterRole
文件密钥轮替器 file-secret-rotator-cp False 组织 Role
FluentBit 创作者 fluentbit-creator False 组织 ClusterRole
FluentBit 编辑器 fluentbit-editor False 组织 ClusterRole
FluentBit IO 创建者 fluentbit-io-creator False 组织 ClusterRole
FluentBit IO 编辑器 fluentbit-io-editor False 组织 ClusterRole
FluentBit IO Viewer fluentbit-io-viewer False 组织 ClusterRole
FluentBit 查看器 fluentbit-viewer False 组织 ClusterRole
Grafana Viewer grafana-viewer False 组织 ClusterRole
Harbor Instance Operator harbor-instance-operator False 组织 ClusterRole
硬件管理员 hardware-admin False 组织 ClusterRole
IAM 监控器 iam-monitor False 组织 ClusterRole
IAM 监控器 iam-monitor False 组织 Role
Interconnect Admin interconnect-admin-cp False 组织 ClusterRole
KUB Monitor kub-monitor False 组织 ClusterRole
记录 obs-system 管理员集群监控 log-monitor False 组织 Role
LogCollector Creator logcollector-creator False 组织 ClusterRole
LogCollector 编辑器 logcollector-editor False 组织 ClusterRole
LogCollector IO Creator logcollector-io-creator False 组织 ClusterRole
LogCollector IO 编辑器 logcollector-io-editor False 组织 ClusterRole
LogCollector IO 查看器 logcollector-io-viewer False 组织 ClusterRole
LogCollector 查看器 logcollector-viewer False 组织 ClusterRole
LoggingRule Creator loggingrule-creator False 组织 ClusterRole
LoggingRule Viewer loggingrule-viewer False 组织 ClusterRole
LoggingTarget 创建者 loggingtarget-creator False 组织 ClusterRole
LoggingTarget Viewer loggingtarget-viewer False 组织 ClusterRole
日志存储桶查看器 logs-bucket-viewer False 组织 Role
Logs Restore Admin logs-restore-admin False 组织 Role
日志转移管理员 logs-transfer-admin False 组织 Role
MonitoringRule Creator monitoringrule-creator False 组织 ClusterRole
MonitoringRule 编辑器 monitoringrule-editor False 组织 ClusterRole
MonitoringRule Viewer monitoringrule-viewer False 组织 ClusterRole
MonitoringTarget Creator monitoringtarget-creator False 组织 ClusterRole
MonitoringTarget 编辑器 monitoringtarget-editor False 组织 ClusterRole
MonitoringTarget Viewer monitoringtarget-viewer False 组织 ClusterRole
MZ 引导锚点读取器 mz-bootstrap-anchor-reader False 组织 ClusterRole
MZ Bootstrap Joining Editor mz-bootstrap-joining-editor False 组织 ClusterRole
MZ Etcd Controller Editor mz-etcd-controller-editor False 组织 Role
MZ Etcd Subcomponent Admin mz-etcd-subcomponent-admin False 组织 ClusterRole
MZ Monitor mz-monitor False 组织 ClusterRole
Observability Viewer observability-viewer False 组织 Role
ObservabilityPipeline Creator observabilitypipeline-creator False 组织 ClusterRole
ObservabilityPipeline Editor observabilitypipeline-editor False 组织 ClusterRole
ObservabilityPipeline Viewer observabilitypipeline-viewer False 组织 ClusterRole
OCLCM Viewer oclcm-viewer False 组织 ClusterRole
组织管理员 organization-admin False 组织 ClusterRole
组织升级管理员 organization-upgrade-admin False 组织 ClusterRole
PNET 监控器 pnet-monitor False 组织 ClusterRole
PSPF 监控器 pspf-monitor False 组织 Role
Remote Logger Admin remote-logger-admin False 组织 Role
Remote Logger Admin remote-logger-admin-root False 组织 Role
远程日志记录器查看器 remote-logger-viewer False 组织 Role
远程日志记录器查看器 remote-logger-viewer-root False 组织 Role
Root Cortex Alertmanager Editor root-cortex-alertmanager-editor False 组织 Role
Root Cortex Alertmanager Viewer root-cortex-alertmanager-viewer False 组织 Role
根 Cortex Prometheus 查看器 root-cortex-prometheus-viewer False 组织 Role
Root Session Admin root-session-admin False 组织 Role
Security Viewer security-viewer False 组织 ClusterRole
ServiceLevelObjective Viewer servicelevelobjective-viewer False 组织 ClusterRole
Storage Replication Admin storage-replication-admin False 组织 ClusterRole
子网管理员 subnet-admin False 组织 ClusterRole
系统制品管理管理员 system-artifact-management-admin False 组织 Role
System Artifact Management Secrets Admin system-artifact-management-secrets-admin False 组织 Role
系统 Artifact Registry anthos-creds secret 监控器 sar-anthos-creds-secret-monitor False 组织 Role
系统 Artifact Registry gpc-system 密钥监控器 sar-gpc-system-secret-monitor False 组织 Role
系统 Artifact Registry Harbor 管理员 sar-harbor-admin False 组织 Role
系统 Artifact Registry Harbor 管理员 sar-harbor-test False 组织 Role
系统制品注册表 Harbor 读取 sar-harbor-read False 组织 Role
System Artifact Registry Harbor ReadWrite sar-harbor-readwrite False 组织 Role
系统 Artifact Registry harbor-system Secret 监控器 sar-harbor-system-secret-monitor False 组织 Role
Artifact Registry 系统制品监控器 sar-monitor False 组织 ClusterRole
Transfer Appliance 请求管理员 transfer-appliance-request-admin False 组织 ClusterRole
信任包根监控器 platauth-trust-bundle-root-monitor False 组织 Role
UNET CLI 监控器 unet-cli-monitor-infra False 组织 ClusterRole
UNET CLI 用户监控器 unet-cli-user-monitor False 组织 OrganizationRole
UNET Monitor unet-monitor-infra False 组织 ClusterRole
升级管理员 upgrade-admin False 组织 ClusterRole
升级 Appliance Admin upgrade-admin-te False 组织 ClusterRole
用户集群 UNET 监控器 user-cluster-unet-monitor False 组织 OrganizationRole
查看者 viewer False 组织 ClusterRole

IO 角色、预定义身份和访问权限角色

IO 角色
名称 绑定类型 Management API 服务器权限 Kubernetes 集群权限 升级为
Security Admin ClusterRoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、OrganizationClusterRole、ProjectRoleBinding 和 OrganizationRoleBinding：创建、读取、更新和删除
  • GKE Identity Service (AIS) 自定义资源 (CR)：读取和写入
 不适用 组织 IAM 管理员和所有其他 IO 角色
AI 模型分发商 (ai-models-distributor) ClusterRoleBinding 存储桶：列出
ConfigMap 和命名空间：获取		 不适用 不适用
AI 模型分发商 (ai-models-infra-distributor) ClusterRoleBinding ConfigMap 和命名空间：获取 不适用 不适用
AIS Monitor RoleBinding anthos-identity-service 命名空间中的 AIS 资源：读取 不适用 不适用
Anthos Identity Service Admin RoleBinding
  • AIS pod 部署：读取和写入
  • AIS 加密密钥：删除
 不适用 不适用
APPLSTOR 监控器 ClusterRoleBinding asmconfigs：获取、列出 不适用 不适用
APPLSTOR 密文轮替器 RoleBinding Object storage secrets：获取、修补 不适用 不适用
Audit Logs Backup Restore Creator RoleBinding 审核日志备份恢复资源：创建、获取、列出和观看 不适用 不适用
审核日志备份恢复编辑器 RoleBinding 备份存储桶：读取和写入 不适用 不适用
Audit Logs Infra Bucket Viewer RoleBinding 备份存储桶：读取 不适用 不适用
AuditLoggingRule 编辑器 ClusterRoleBinding LoggingRule 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
AuditLoggingTarget Creator ClusterRoleBinding AuditLoggingTarget 资源：创建、获取、列出和观看 不适用 不适用
AuditLoggingTarget Editor (auditloggingtarget-editor) ClusterRoleBinding AuditLoggingTarget 资源：获取、列出、观看、更新、修补和删除 不适用 不适用
AuditLoggingTarget Editor (loggingtarget-editor) ClusterRoleBinding LoggingTarget 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
AuditLoggingTarget 查看者 ClusterRoleBinding AuditLoggingTarget 资源：获取、列出和观看 不适用 不适用
Bundledidp Admin RoleBinding Bundledidp 资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
证书管理器监控器 ClusterRoleBinding Cert Manager 资源：获取、列出和观看 不适用 不适用
凭证轮换监控器 ClusterRoleBinding 凭证轮换资源：获取、列出和观看 不适用 不适用
信息中心创建工具 ClusterRoleBinding Dashboard 自定义资源：获取、列出、观看、创建 不适用 不适用
信息中心编辑器 ClusterRoleBinding Dashboard 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
信息中心查看器 ClusterRoleBinding Dashboard：获取并读取 不适用 不适用
DNS 密钥监控器 RoleBinding 域名系统 (DNS) 密钥资源：获取、列出和观看 不适用 不适用
DNS 监控器 ClusterRoleBinding 不适用 Configmap、Secret、DNS 注册 API、DNS 服务、DNS 部署：读取 不适用
Emergency SSH Creds Admin RoleBinding 不适用 EmergencySshCredentials：创建、读取和修补 不适用
root-admin 集群中的 FeatureGate Overrider ClusterRoleBinding KubeAPIServer 资源：获取、列出和观看 不适用 不适用
根组织管理员集群中的 FeatureGate Overrider（旧版） ClusterRoleBinding KubeAPIServer 和 ControlPlane 资源：获取、列出和观看 不适用 不适用
文件监控器 ClusterRoleBinding asmconfigs 和 InventoryMachine 资源：获取和列出 不适用 不适用
文件密钥轮替器 RoleBinding 文件 Secret 轮换器资源：获取、列出、修补和更新 Secret 不适用 不适用
FluentBit 创作者 ClusterRoleBinding FluentBit 资源：创建、获取、列出和观看 不适用 不适用
FluentBit 编辑器 ClusterRoleBinding FluentBit 资源：获取、列出、观看、更新、修补和删除 不适用 不适用
FluentBit IO 创建者 ClusterRoleBinding FluentBit 自定义资源：读取和写入 不适用 不适用
FluentBit IO 编辑器 ClusterRoleBinding FluentBit 自定义资源：读取和写入 不适用 不适用
FluentBit IO Viewer ClusterRoleBinding FluentBit 自定义资源：读取 不适用 不适用
FluentBit 查看器 ClusterRoleBinding FluentBit 资源：获取、列出和观看 不适用 不适用
Grafana Viewer ClusterRoleBinding GrafanaSystem 和 Grafana：读取和写入 不适用 不适用
Harbor Instance Operator ClusterRoleBinding Harbor 实例部署和部署日志：获取、修补和更新 不适用 不适用
硬件管理员 ClusterRoleBinding 与硬件相关的 CRD：读取和写入 不适用 不适用
IAM Monitor（iam-monitor、ClusterRole） ClusterRoleBinding Identity and Access Management (IAM) 资源：获取、列出和观看 不适用 不适用
IAM Monitor（iam-monitor、Role） RoleBinding IAM 资源：获取、列出和观看 不适用 不适用
Interconnect Admin ClusterRoleBinding 不适用 互连连接和连接群组：get、list、watch、create、update、delete、patch 不适用
KUB Monitor ClusterRoleBinding 用户集群 (KUB) 资源：读取 不适用 不适用
记录 obs-system 管理员集群监控 RoleBinding 记录 obs-system 管理员集群监控资源：获取、列出和观看 不适用 不适用
LogCollector Creator ClusterRoleBinding LogCollector 资源：创建、获取、列出和观看 不适用 不适用
LogCollector 编辑器 ClusterRoleBinding LogCollector 资源：获取、列出、观看、更新、修补和删除 不适用 不适用
LogCollector IO Creator ClusterRoleBinding LogCollector 自定义资源：读取和写入 不适用 不适用
LogCollector IO 编辑器 ClusterRoleBinding LogCollector 自定义资源：读取和写入 不适用 不适用
LogCollector IO 查看器 ClusterRoleBinding LogCollector 自定义资源：读取 不适用 不适用
LogCollector 查看器 ClusterRoleBinding LogCollector 资源：获取、列出和观看 不适用 不适用
LoggingRule Creator ClusterRoleBinding LoggingRule 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingRule Viewer ClusterRoleBinding LoggingRule 自定义资源：读取 不适用 不适用
LoggingTarget 创建者 ClusterRoleBinding LoggingTarget 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingTarget Viewer ClusterRoleBinding LoggingTarget 自定义资源：读取 不适用 不适用
日志存储桶查看器 RoleBinding 日志存储桶资源：获取、列出和观看 不适用 不适用
Logs Restore Admin RoleBinding 日志恢复资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
日志转移管理员 RoleBinding 日志转移资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
MonitoringRule Creator ClusterRoleBinding MonitoringRule 资源：创建、获取、列出和观看 不适用 不适用
MonitoringRule 编辑器 ClusterRoleBinding MonitoringRule 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
MonitoringRule Viewer ClusterRoleBinding MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget Creator ClusterRoleBinding MonitoringTarget 自定义资源：获取、列出、观看、创建 不适用 不适用
MonitoringTarget 编辑器 ClusterRoleBinding MonitoringTarget 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
MonitoringTarget Viewer ClusterRoleBinding MonitoringTarget 自定义资源：读取 不适用 不适用
MZ 引导锚点读取器 ClusterRoleBinding 可用区、全局 API 可用区、服务、配置映射和 DNS 注册：获取、列出和观看 不适用 不适用
MZ Bootstrap Joining Editor ClusterRoleBinding 多可用区 (MZ) 启动加入资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
MZ Etcd Controller Editor RoleBinding Etcd 控制器部署、副本集和 pod：获取和修补 不适用 不适用
MZ Etcd Subcomponent Admin ClusterRoleBinding Subcomponent 资源：获取、列出、更新、修补和删除 不适用 不适用
MZ Monitor ClusterRoleBinding MZ 资源：获取、列出和观看 不适用 不适用
Observability Viewer RoleBinding obs-system 命名空间：读取 obs-system 命名空间：读取 不适用
ObservabilityPipeline Creator ClusterRoleBinding ObservabilityPipeline 资源：创建、获取、列出和观看 不适用 不适用
ObservabilityPipeline Editor ClusterRoleBinding ObservabilityPipeline 资源：获取、列出、观看、更新、删除和修补 不适用 不适用
ObservabilityPipeline Viewer ClusterRoleBinding ObservabilityPipeline 资源：获取和阅读 不适用 不适用
OCLCM Viewer ClusterRoleBinding oclcm-viewer：
  • 组件、组件发布、子组件、子组件替换项：阅读
 oclcm-viewer-root：
  • 组件、组件发布、子组件和子组件替换项：阅读
 不适用
组织管理员 ClusterRoleBinding
  • 组织 CR：读取和写入
  • 组织升级和发布元数据：读取
 不适用 不适用
组织升级管理员 ClusterRoleBinding 升级配置映射：获取 不适用 不适用
PNET 监控器 ClusterRoleBinding 不适用 物理网络 (PNET) 部署、部署日志、Pod、Pod 日志、子网声明和交换机：读取 不适用
PSPF 监控器 RoleBinding 不适用 政策代理 (PSPF) 部署日志、Pod、Pod 日志：获取、列出、观看 不适用
Remote Logger Admin (remote-logger-admin) RoleBinding 部署：读取、更新、修补和删除 部署：读取、更新、修补和删除 不适用
Remote Logger Admin (remote-logger-admin-root) RoleBinding 部署：读取、更新、修补和删除 部署：读取、更新、修补和删除 不适用
Remote Logger Viewer (remote-logger-viewer) RoleBinding 部署：读取 部署：读取 不适用
Remote Logger Viewer (remote-logger-viewer-root) RoleBinding 部署：读取 部署：读取 不适用
Root Cortex Alertmanager Editor RoleBinding 不适用 Cortex Alertmanager、日志记录规则和监控规则自定义资源：创建、删除、读取、修补和更新 不适用
Root Cortex Alertmanager Viewer RoleBinding 不适用 Cortex Alertmanager、日志记录规则和监控规则自定义资源：阅读 不适用
根 Cortex Prometheus 查看器 RoleBinding 不适用 Cortex 系统和 Cortex Prometheus：请参阅 不适用
Root Session Admin RoleBinding 不适用 Istio 资源管理器：创建、读取、更新、删除和修补 不适用
Security Viewer ClusterRoleBinding
  • RoleBinding 和 ClusterRoleBinding：读取
  • Role 和 ClusterRole：读取
  • AIS CR：读取
 不适用 不适用
ServiceLevelObjective Viewer ClusterRoleBinding ServiceLevelObjective 资源：获取、列出和观看 不适用 不适用
Storage Replication Admin ClusterRoleBinding 存储集群对等互连、存储虚拟机对等互连、卷复制关系和卷故障转移：创建、获取、列出、监控和删除 不适用 不适用
子网管理员 ClusterRoleBinding 子网资源：创建、获取、列出、监视、更新、修补和删除 不适用 不适用
系统制品管理管理员 RoleBinding HarborProjects：管理员，创建、读取、写入、删除和查看
  • Harbor 项目和用户凭据：创建、删除和读取
  • HarborProjects：管理员、读取、写入
  • 分发制品：创建、删除、更新和读取
  • image-label-map configmap：创建、删除、更新和读取
  • 服务器、信任存储区 configmap：读取
 不适用
System Artifact Management Secrets Admin RoleBinding 不适用
  • 集群内注册表：读取
  • 升级注册表镜像：创建、读取、更新和删除
 不适用
系统 Artifact Registry anthos-creds secret 监控器 RoleBinding anthos-creds 密钥：获取和读取 anthos-creds 密钥：获取和读取 不适用
系统 Artifact Registry gpc-system 密钥监控器 RoleBinding gpc-system 密钥：获取和读取 gpc-system 密钥：获取和读取 不适用
System Artifact Registry Harbor Admin (sar-harbor-admin) RoleBinding Harbor 项目：创建、读取、更新、修补和删除 Harbor 项目：创建、读取、更新、修补和删除 不适用
System Artifact Registry Harbor Admin (sar-harbor-test) RoleBinding Harbor 项目：创建、读取、更新、修补和删除 Harbor 项目：创建、读取、更新、修补和删除 不适用
系统制品注册表 Harbor 读取 RoleBinding 不适用 Harbor 项目：阅读 不适用
System Artifact Registry Harbor ReadWrite RoleBinding 不适用 Harbor 项目：创建、读取和写入 不适用
系统 Artifact Registry harbor-system Secret 监控器 RoleBinding harbor-system 密钥：获取和读取 harbor-system 密钥：获取和读取 不适用
Artifact Registry 系统制品监控器 ClusterRoleBinding 不适用 Harbor 集群、Secret 和 CRD：读取 不适用
Transfer Appliance 请求管理员 ClusterRoleBinding TransferApplianceRequest 资源和状态：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
信任包根监控器 RoleBinding 信任软件包配置映射：获取、列出和观看 不适用 不适用
UNET CLI 监控器 ClusterRoleBinding 上层网络 (UNET) 命令行界面 (CLI) 资源：获取、列出和观看 不适用 不适用
UNET CLI 用户监控器 OrganizationRoleBinding 不适用
  • 网络资源、Secret、ConfigMap、Cilium 端点、虚拟机 (VM)、VM 运行时、部署、集群、命名空间、CRD：读取
  • Pod：读取和创建
 不适用
UNET Monitor ClusterRoleBinding UNET 资源：获取、列出和观看 不适用 不适用
升级 Admin ClusterRoleBinding 升级资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
升级 Appliance Admin ClusterRoleBinding SubcomponentOverrides：获取、列出、创建、更新和修补
  • 组织：获取、列出、更新、修补和观看
  • OrganizationUpgrade：获取
 不适用
用户集群 UNET 监控器 OrganizationRoleBinding 不适用 项目、项目网络政策、configmap、Secret、证书、证书签发者、软件包、部署、DaemonSet、StatefulSet、Pod、Pod 日志、服务、端点、端点切片、网络政策、网络日志记录、Cilium、网络、网络接口、虚拟机、虚拟机实例、网络、集群无类别域间路由 (CIDR) 配置、扁平 IP 模式、configmap 转发器、Secret 转发器、健康检查、节点池声明、节点池、插件配置、流日志和流日志状态、边界网关协议 (BGP) 对等互联方、BGP 播发的路由、BGP 接收的路由、BGP 会话、BGP 负载均衡器、出站网络地址转换 (NAT) 政策、网络网关组、网络网关节点、扁平 IP 模式、多集群连接配置、虚拟专用网 (VPN) 隧道和流量转向：获取和读取 不适用
查看者 ClusterRoleBinding 观看者资源：获取、列出和观看 不适用 不适用

IO Persona，预定义调试器角色

当您遇到问题时，IO 会使用预定义的调试器角色来排查和解决问题。这些角色可为 IO 提供组织范围内的管理员权限，并具有更高的读取和写入权限。获得该访问权限后，IO 就可以检查日志、修改配置，以及管理整个基础架构中的资源，包括 Management API 服务器、组织基础架构集群和用户 Kubernetes 集群。

所有调试器角色都具有以下特征：

  • 作用范围为组织级层。
  • 默认情况下不会分配给初始管理员。
  • 请勿升级到其他角色。

下表列出了 IO 在这些操作期间使用的权限：

IO 角色调试器角色
名称 Kubernetes 资源名称 绑定类型 Management API 服务器权限 Kubernetes 集群权限
AIS 调试器 ais-debugger RoleBinding anthos-identity-service 命名空间中的 AIS 资源（configmap、deployment、stateful set、pod、pod 日志、持久卷声明 [PVC]、事件、secret、可轮替的 secret 和轮替请求）：创建、读取、更新、修补和删除 不适用
APPLSTOR 调试程序 applstor-debugger-cp ClusterRoleBinding asmconfigs：所有操作
命名空间和 Secret：获取和列出		 不适用
ASM 调试器 asm-admin-debugger ClusterRoleBinding Istio 服务网格资源（ManagedServiceMesh、IstioOperator、IstioAuthorizationResource、网关、虚拟服务、目标规则、Envoy 过滤器、对等身份验证、授权政策和遥测）、部署、DaemonSet、StatefulSet、ReplicaSet、Pod、Pod 日志、Pod 端口转发、ConfigMap、Secret、服务、端点和服务账号：创建、获取、列出、观看、更新、修补和删除 不适用
ASM User Debugger asm-user-debugger OrganizationRoleBinding 不适用 Pod、服务、Pod 端口转发、Istio 安全、网络和遥测资源，以及 IstioAuthorizationResource 资源：所有操作
节点和 IstioOperator 资源：获取和列出
Cert Manager 调试器 platauth-cert-manager-debugger ClusterRoleBinding 证书、证书请求、签发者、集群签发者、自动证书管理环境 (ACME) 质询和订单：创建、获取、列出、观看、更新、修补和删除 不适用
Cert Manager 用户集群调试器 platauth-cert-manager-user-debugger OrganizationRoleBinding 不适用 证书、证书请求、签发者、集群签发者、质询和订单：创建、获取、列出、观看、更新、修补和删除
凭证轮换调试器 platauth-credential-rotation-debugger ClusterRoleBinding Secret 轮换请求 (RotationRequest)、可轮换 Secret (RotatableSecret) 和 Secret：创建、获取、列出、监控、更新、修补和删除 不适用
调试 AuditLoggingTarget 的 Istio 资源 auditloggingtarget-istio-monitor RoleBinding Istio 资源（VirtualService、Gateway）、服务、Secret 和证书：获取和列出 不适用
DNS 调试器 dns-debugger-cp ClusterRoleBinding
  • Configmap 和 Secret：创建、读取和删除
  • DNS 注册：创建和读取
  • 服务：读取和更新
  • 部署和部署日志：读取、修补和更新
  • Pod：创建和读取
  • Pod 日志：读取
 不适用
DNS 密钥调试器 dns-key-debugger RoleBinding dns-system 命名空间中的域名系统安全扩展 (DNSSEC) 签名密钥 Secret 和 configmap：创建、获取、列出、观看、更新、修补和删除 不适用
EZ Debugger ez-debugger ClusterRoleBinding 软件即服务 (SaaS) 运行时资源（SaasInstance、ModuleInstance 和 LocalRollout）和维护政策资源（MaintenancePolicy 和 MaintenancePolicyBinding）：创建、获取、列出、监控、更新、修补和删除 不适用
FILE 调试程序 file-debugger-cp ClusterRoleBinding InventoryMachine、命名空间和 Secret：获取和列出 不适用
Grafana 管理员 grafana-debugger RoleBinding 应用、部署、有状态集和 pod：读取、更新、删除和修补 应用、部署、有状态集和 pod：读取、更新、删除和修补
Grafana 管理员 grafana-debugger-cp ClusterRoleBinding 应用、部署、有状态集和 pod：读取、更新、删除和修补 应用、部署、有状态集和 pod：读取、更新、删除和修补
Harbor 实例调试器 harbor-instance-debugger ClusterRoleBinding
  • Harbor 实例、Harbor 实例备份、备份方案、备份存储库和恢复（数据库和注册表）：创建、获取、列出、观看、更新、修补和删除
  • 影子项目：创建、获取、列出、观看、更新和删除
  • 部署、部署日志、监控目标、指标代理边车和 CRD：获取、列出、观看、更新和修补
  • 证书、集群签发者、签发者和 Istio 授权政策：获取、列出、监控、更新和删除
  • Pod 和 pod exec：创建、获取、列出和观看
  • 审核日志记录目标、日志记录目标、存储桶、PostgreSQL 数据库集群、项目网络政策和 pod 日志：获取、列出和观看
 不适用
IAM 调试器 iam-debugger ClusterRoleBinding IAM CR、身份提供方、角色绑定、集群角色绑定和 Webhook 配置：创建、获取、列出、观看、更新、修补和删除 不适用
IAM 调试器 iam-debugger RoleBinding iam-system 命名空间中的 IAM 部署、Pod、Pod 日志、ConfigMap 和 Secret：创建、获取、列出、监控、更新、修补和删除 不适用
KUB IPAM 调试器 kub-ipam-debugger ClusterRoleBinding IP 地址管理 (IPAM) CR（CIDRClaim、AddressPoolClaim 和 Subnet）：读取和写入 不适用
记录 obs-system 组织管理员调试器 log-debugger RoleBinding
  • obs-system 命名空间中的 Pod、pod exec、pod 端口转发和 Istio 遥测：创建、获取、列出、监控、更新、修补和删除
  • Deployment、deployment 规模、有状态集、Pod 横向自动扩缩器、永久性卷和 PVC：获取、列出、监视、更新、修补和删除
  • 守护进程集、日志收集器和监控目标：获取、列出、监视和修补
  • Secret：获取、列出和删除
  • 审核日志记录目标、日志记录流水线、证书、configmap、Pod 日志、DaemonSet 日志、部署日志、StatefulSet 日志、事件、节点、服务、Envoy 过滤器和虚拟服务：获取、列出和观看
 不适用
Observability Admin observability-admin-debugger RoleBinding
  • obs-system 命名空间：读取
  • Anthos 审核日志转发器和 Anthos 日志转发器： 更新、修补和删除
  • obs-system 命名空间：读取
  • audit-logs-loki、loki、cortex、anthos-audit-logs-forwarder、anthos-log-forwarder：更新、修补和删除
Observability Admin observability-admin-debugger-root RoleBinding
  • obs-system 命名空间：读取
  • Anthos 审核日志转发器和 Anthos 日志转发器： 更新、修补和删除
  • obs-system 命名空间：读取
  • audit-logs-loki、loki、cortex、anthos-audit-logs-forwarder、anthos-log-forwarder：更新、修补和删除
可观测性调试工具 observability-debugger OrganizationRoleBinding
  • Deployment、StatefulSet、DaemonSet、Secret、ConfigMap：读取、创建、删除、修补和更新
  • 证书：读取
 不适用
OCLCM 调试工具 oclcm-debugger ClusterRoleBinding oclcm-debugger：
  • 组件：创建和读取
  • 组件推出和子组件：读取、修补和更新
  • 子组件替换：创建、读取、更新和修补
 oclcm-debugger-root：
  • 组件：创建和读取
  • 组件推出和子组件：读取、修补和更新
  • 子组件替换：创建、读取、更新和修补
PNET 调试器 pnet-debugger ClusterRoleBinding 不适用
  • PNET 部署和部署日志：读取、修补和更新
  • Pod、Pod 日志、子网声明和交换机：阅读
PNET 调试器 pnet-debugger RoleBinding 不适用
  • PNET 部署和部署日志：读取、修补和更新
  • Pod、Pod 日志、子网声明和交换机：阅读
PNET Secret Debugger pnet-secret-debugger RoleBinding 不适用 PNET Secret：获取、列出、观看、创建、更新、修补、删除
PSPF 调试器 pspf-debugger RoleBinding 不适用
  • PSPF 部署：get、list、watch、create、update、patch、delete
  • PSPF 部署日志、Pod、Pod 日志：获取、列出、观看
SSH Infra Debugger platauth-ssh-infra-debugger RoleBinding 不适用 安全外壳 (SSH) 密钥：获取、列出、观看、修补、更新、创建、删除
系统 Artifact Registry Debugger sar-debugger ClusterRoleBinding 不适用
  • Harbor 集群、Secret、分发政策、手动分发和 ConfigMap：创建、读取、更新、修补和删除
  • PVC、Pod 和 Harbor 机器人账号：创建、读取和删除
  • 发布元数据、组织、数据库集群、Harbor 项目、证书、服务器和集群：读取
  • 数据库和 CRD：读取和删除
  • 部署：读取、更新、修补和删除
  • 永久性卷：读取、更新和修补
系统 Artifact Registry harbor-system 密钥 Debugger sar-harbor-system-secret-debugger RoleBinding harbor-system secret：创建、获取、列出、观看、更新、修补和删除 不适用
系统集群 Vertex AI 调试器 system-cluster-vai-debugger ClusterRoleBinding Vertex AI 系统集群资源（应用配置、基本服务、集群配置、紧急配置、端点、实验配置、主机维护、微服务、软件包和资源池）和密钥：创建、获取、列出、观看、更新、修补和删除 不适用
UNET 调试器 unet-debugger-infra ClusterRoleBinding UNET 资源（BGP 路由、对等互连、会话、网关和负载均衡器、双向转发检测 (BFD) 配置文件、IP 地址池、第 2 层 (L2) 通告、Cilium 网络政策、端点、身份和节点、集群 CIDR 配置、集群 DNS、出站 NAT 政策、扁平 IP 模式、多集群连接配置、网络网关组和节点、网络接口、网络日志记录、网络和 VPN 隧道）、configmap、daemon set、部署、服务、端点和端点切片：创建、获取、列出、监控、更新、修补和删除 不适用
升级调试器 upgrade-debugger ClusterRoleBinding 不适用
  • 升级资源（节点升级、发布元数据、组件发布元数据、预检检查、维护期、configmap 和 secret）：创建、读取、更新、删除和修补
  • Harbor 项目：Harbor-admin
用户集群调试器 user-cluster-debugger OrganizationRoleBinding 不适用
  • 用户集群、裸金属集群、插件配置、清单机器、机器、节点池、节点池声明、节点、Pod、Pod 执行、Pod 日志、作业、ConfigMap 和 Secret：创建、获取、列出、监控、更新、修补和删除
  • 地址池声明、CIDR 声明、子网声明、组织和服务器：创建、获取、列出、监控、更新和修补
  • 守护程序集、部署和副本集：获取、列出、监控和修补
  • 升级预检检查：获取、列出、观看和删除
  • 子网、图形处理单元 (GPU) 分配、Harbor 集群、硬件安全模块 (HSM) 集群和虚拟机：获取、列出和观看
用户集群 DNS 调试器 user-cluster-dns-debugger OrganizationRoleBinding 不适用
  • Deployment、Deployment 日志、Pod、Pod 日志：阅读
  • Pod：创建
用户集群 UNET 调试器 user-cluster-unet-debugger OrganizationRoleBinding 不适用
  • Configmap：获取、更新和读取
  • Deployment、deployment 日志、daemon set 和 daemon set 日志：获取、读取、修补和更新
  • Pod 和 Pod 日志：获取、读取、创建和删除
  • 服务、Cilium 和网络政策：获取、读取、创建、更新和删除
  • 流日志和流日志状态：获取、读取、创建、修补、更新和删除
Vertex AI 调试器 vai-debugger ClusterRoleBinding Vertex AI 软件包、项目、部署、界面资源和插件集：创建、获取、列出、观看、更新、修补和删除
Secret：获取、列出和删除		 不适用
组织基础架构集群的 VPN 调试器 vpn-debugger-infra ClusterRoleBinding 网络网关节点和群组、BGP 路由、对等互联方和会话、VPN 隧道和流量转向：获取、列出和观看 不适用
Web TLS 证书调试器 platauth-web-tls-cert-debugger RoleBinding 不适用 Secret 和公钥基础架构 (PKI) 证书：获取、列出、观看、更新、修补、创建、删除

PA Persona，预定义的身份和访问权限角色

PA persona
名称 Kubernetes 资源名称 初始管理员 级别 类型
组织 IAM 管理员 organization-iam-admin True 组织 ClusterRole
AI Platform Admin ai-platform-admin False 组织 Role
Bucket Admin bucket-admin False 组织 ClusterRole
Bucket Object Admin bucket-object-admin False 组织 ClusterRole
Bucket Object Viewer bucket-object-viewer False 组织 ClusterRole
ConfigMap 编辑器 observabilitypipeline-configmap-editor False 组织 Role
自定义角色组织管理员 custom-role-org-admin False 组织 ClusterRole
信息中心 PA 创建者 dashboard-pa-creator False 组织 ClusterRole
信息中心 PA 编辑器 dashboard-pa-editor False 组织 ClusterRole
信息中心 PA 查看器 dashboard-pa-viewer False 组织 ClusterRole
Flow Log Admin flowlog-admin False 组织 ClusterRole
流日志查看器 flowlog-viewer False 组织 ClusterRole
GDCHRestrictByAttributes Policy Admin gdchrestrictbyattributes-policy-admin False 组织 ClusterRole
GDCHRestrictedService Policy Admin gdchrestrictedservice-policy-admin False 组织 ClusterRole
身份提供方联合管理 idp-federation-admin False 组织 Role
Infra PKI Admin infra-pki-admin False 组织 Role
Interconnect Admin interconnect-admin-mp False 组织 ClusterRole
LoggingRule PA Creator loggingrule-pa-creator False 组织 ClusterRole
LoggingRule PA 编辑器 loggingrule-pa-editor False 组织 ClusterRole
LoggingRule PA Viewer loggingrule-pa-viewer False 组织 ClusterRole
LoggingTarget PA Creator loggingtarget-pa-creator False 组织 ClusterRole
LoggingTarget PA 编辑器 loggingtarget-pa-editor False 组织 ClusterRole
LoggingTarget PA Viewer loggingtarget-pa-viewer False 组织 ClusterRole
MonitoringRule PA Creator monitoringrule-pa-creator False 组织 ClusterRole
MonitoringRule PA 编辑器 monitoringrule-pa-editor False 组织 ClusterRole
MonitoringRule PA Viewer monitoringrule-pa-viewer False 组织 ClusterRole
MonitoringTarget PA Creator monitoringtarget-pa-creator False 组织 ClusterRole
MonitoringTarget PA Editor monitoringtarget-pa-editor False 组织 ClusterRole
MonitoringTarget PA Viewer monitoringtarget-pa-viewer False 组织 ClusterRole
MP OCLCM 调试器 mp-oclcm-debugger False 组织 ClusterRole
MP OCLCM Viewer mp-oclcm-viewer False 组织 ClusterRole
ObservabilityPipeline PA Creator observabilitypipeline-pa-creator False 组织 ClusterRole
ObservabilityPipeline PA Editor observabilitypipeline-pa-editor False 组织 ClusterRole
ObservabilityPipeline PA Viewer observabilitypipeline-pa-viewer False 组织 ClusterRole
Org Network Policy Admin org-network-policy-admin False 组织 Role
组织会话管理员 org-session-admin False 组织 Role
组织 Grafana 查看者 organization-grafana-viewer False 组织 Role
组织 IAM 查看者 organization-iam-viewer False 组织 ClusterRole
组织升级管理员 organization-upgrade-admin False 组织 ClusterRole
组织升级查看者 organization-upgrade-viewer False 组织 ClusterRole
Project Creator project-creator False 组织 ClusterRole
Project Editor project-editor False 组织 ClusterRole
子网组织管理员 subnet-org-admin False 组织 ClusterRole
Transfer Appliance 请求创建者 transfer-appliance-request-creator False 组织 ClusterRole
Trust Store Viewer trust-store-viewer False 组织 Role
User Cluster Admin user-cluster-admin False 组织 ClusterRole
用户集群开发者 user-cluster-developer False 组织 OrganizationRole
用户集群节点查看者 user-cluster-node-viewer False 组织 OrganizationRole
卷复制管理员 volume-replication-admin False 组织 ClusterRole
VPN 管理员 vpn-admin False 组织 Role
VPN 查看器 vpn-viewer False 组织 Role
Web TLS Certificate Admin web-tls-cert-admin False 组织 Role

PA 角色、预定义身份和访问角色

PA persona
名称 绑定类型 Management API 服务器权限 Kubernetes 集群权限 升级为
组织 IAM 管理员 ClusterRoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、OrganizationClusterRole、ProjectRoleBinding 和 OrganizationClusterRoleBinding：创建、读取、更新和删除
  • 列出项目命名空间
 不适用 Project IAM Admin 和所有其他 PA 角色
AI Platform Admin RoleBinding
  • 预训练服务：创建、读取、更新和删除
 不适用 不适用
Bucket Admin ClusterRoleBinding 存储桶和对象：读取和写入 不适用 不适用
Bucket Object Admin ClusterRoleBinding
  • 存储桶：读取
  • 对象：读取和写入
 不适用 不适用
Bucket Object Viewer ClusterRoleBinding 存储桶和对象：读取 不适用 不适用
ConfigMap 编辑器 RoleBinding ConfigMap 资源：创建、获取、列出、观看、更新和修补 不适用 不适用
自定义角色组织管理员 ClusterRoleBinding 自定义角色组织资源：创建、获取、列出、监控、更新、修补和删除 不适用 不适用
信息中心 PA 创建者 ClusterRoleBinding Dashboard 自定义资源：读取和写入 不适用 不适用
信息中心 PA 编辑器 ClusterRoleBinding Dashboard 自定义资源：读取和写入 不适用 不适用
信息中心 PA 查看器 ClusterRoleBinding Dashboard 自定义资源：读取 不适用 不适用
Flow Log Admin ClusterRoleBinding 流日志资源：创建、获取、读取、修补、更新和删除 流日志资源：创建、获取、读取、修补、更新和删除 不适用
流日志查看器 ClusterRoleBinding 流日志资源：获取和读取 流日志资源：获取和读取 不适用
GDCHRestrictByAttributes Policy Admin ClusterRoleBinding GDCH 受限属性政策：创建、修改和删除 不适用 不适用
GDCHRestrictedService Policy Admin ClusterRoleBinding GDCHRestrictedService Policy 资源：创建、获取、列出、监控、更新、修补和删除 不适用 不适用
身份提供方联合管理 RoleBinding 身份提供方配置和密钥：创建、读取、更新、修补和删除 不适用 不适用
Infra PKI Admin RoleBinding 不适用
  • PKI 证书签发者和证书授权机构：get、list、watch、create、update、delete、patch
  • PKI Secret：获取、列出
 不适用
Interconnect Admin ClusterRoleBinding 不适用 互连连接和连接群组：get、list、watch、create、update、delete、patch 不适用
LoggingRule PA Creator ClusterRoleBinding LoggingRule 自定义资源：读取和写入 不适用 不适用
LoggingRule PA 编辑器 ClusterRoleBinding LoggingRule 自定义资源：读取和写入 不适用 不适用
LoggingRule PA Viewer ClusterRoleBinding LoggingRule 自定义资源：读取 不适用 不适用
LoggingTarget PA Creator ClusterRoleBinding LoggingTarget 自定义资源：读取和写入 不适用 不适用
LoggingTarget PA 编辑器 ClusterRoleBinding LoggingTarget 自定义资源：读取和写入 不适用 不适用
LoggingTarget PA Viewer ClusterRoleBinding LoggingTarget 自定义资源：读取 不适用 不适用
MonitoringRule PA Creator ClusterRoleBinding MonitoringRule 自定义资源：读取和写入 不适用 不适用
MonitoringRule PA 编辑器 ClusterRoleBinding MonitoringRule 自定义资源：读取和写入 不适用 不适用
MonitoringRule PA Viewer ClusterRoleBinding MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget PA Creator ClusterRoleBinding MonitoringTarget 自定义资源：读取和写入 不适用 不适用
MonitoringTarget PA Editor ClusterRoleBinding MonitoringTarget 自定义资源：读取和写入 不适用 不适用
MonitoringTarget PA Viewer ClusterRoleBinding MonitoringTarget 自定义资源：读取 不适用 不适用
MP OCLCM 调试器 ClusterRoleBinding
  • 组件：获取、列出、创建
  • ComponentOverrides、SubcomponentOverrides：获取、列出、创建、更新、修补
  • ComponentRollouts、Subcomponents：获取、列出、更新、修补
 不适用 不适用
MP OCLCM Viewer ClusterRoleBinding 组件、ComponentOverrides、SubcomponentOverrides、ComponentRollouts、子组件：获取、列出 不适用 不适用
ObservabilityPipeline PA Creator ClusterRoleBinding ObservabilityPipeline 自定义资源：读取和写入 不适用 不适用
ObservabilityPipeline PA Editor ClusterRoleBinding ObservabilityPipeline 自定义资源：读取和写入 不适用 不适用
ObservabilityPipeline PA Viewer ClusterRoleBinding ObservabilityPipeline 自定义资源：读取 不适用 不适用
Org Network Policy Admin RoleBinding platform 命名空间中的 OrganizationNetworkPolicy：创建、读取、更新和删除 不适用 不适用
组织会话管理员 RoleBinding Istio 授权资源：创建、读取、更新和删除 不适用 不适用
组织 Grafana 查看者 RoleBinding GrafanaSystem 和 Grafana：读取和写入 不适用 不适用
组织 IAM 查看者 ClusterRoleBinding
  • 基于角色的访问权限控制 (RBAC) 对象：读取
  • OrganizationClusterRole 和 OrganizationClusterRoleBinding：读取
 不适用 不适用
组织升级管理员 ClusterRoleBinding 维护窗口：获取、列出、观看、更新和修补 不适用 不适用
组织升级查看者 ClusterRoleBinding 维护窗口：获取、列出和观看 不适用 不适用
Project Creator ClusterRoleBinding
  • 项目自定义资源 (CR)：读取和创建
  • 舰队 CR：读取和创建
  • 集群：读取
 不适用 不适用
Project Editor ClusterRoleBinding
  • 项目自定义资源 (CR)：读取、删除、修补、更新和查看
  • Fleet CR：阅读并删除
  • 集群 CR：读取
 不适用 不适用
子网组织管理员 ClusterRoleBinding 子网组织资源：创建、获取、列出、监控、更新、修补和删除 不适用 不适用
Transfer Appliance 请求创建者 ClusterRoleBinding Transfer Appliance 请求资源：创建、获取、列出和观看 不适用 不适用
Trust Store Viewer RoleBinding 受信任证书存储区密钥：获取 不适用 不适用
User Cluster Admin ClusterRoleBinding
  • AddressPoolClaims：创建、读取、更新和删除
  • UserClusterUpgrade：读取和写入
  • UserClusterMetadata、ClusterBgpRouters、InventoryMachines 和项目自定义资源 (CR)：读取
  • CidrClaims：创建、读取、更新和删除
  • Namespace：创建和删除
  • ClusterCidrConfigs 和集群：创建、读取、更新、修补和删除
  • NodeUpgrades：读取、创建、修补和更新
  • HarborClusters、Projects、UserClusterUpgradeRequests：读取
  • Clusters 和 NodePoolClaims：读取和写入
  • NodePools、MachineClasses、VirtualMachineTypes 和 ClusterInfos：读取
 不适用
用户集群开发者 OrganizationRoleBinding 不适用 集群：读取和写入 不适用
用户集群节点查看者 OrganizationRoleBinding 不适用 集群：读取 不适用
卷复制管理员 ClusterRoleBinding Volume failovers, volume relationship replicas： 创建、获取、列出、观看、删除 不适用 不适用
VPN 管理员 RoleBinding 不适用
  • VPNGateway：创建、读取、写入
  • PeerGateway：创建、读取、写入
  • VPNBGPPeer：创建、读取、写入
  • VPNTunnel：创建、读取、写入
 不适用
VPN 查看器 RoleBinding 不适用
  • VPNGateway：读取
  • PeerGateway：读取
  • VPNBGPPeer：读取
  • VPNTunnel：读取
 不适用
Web TLS Certificate Admin RoleBinding Web TLS 证书资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用

AO Persona，预定义的身份和访问权限角色

AO 角色
名称 Kubernetes 资源名称 初始管理员 级别 类型
Project IAM Admin project-iam-admin True 项目 Role
AI Ocr Developer ai-ocr-developer False 项目 Role
AI 语音开发者 ai-speech-developer False 项目 Role
AI Translation Developer ai-translation-developer False 项目 Role
Certificate Authority Service Admin certificate-authority-service-admin False 项目 Role
Certificate Service Admin certificate-service-admin False 项目 Role
Custom Role Project Admin custom-role-project-admin False 项目 Role
信息中心编辑器 dashboard-editor False 项目 Role
信息中心查看器 dashboard-viewer False 项目 Role
调试 AuditLoggingTarget 自定义资源 auditloggingtarget-monitor False 项目 Role
Harbor Instance Viewer harbor-instance-viewer False 项目 Role
Harbor 项目创建者 harbor-project-creator False 项目 Role
K8S NetworkPolicy Admin k8s-networkpolicy-admin False 项目 ProjectRole
负载平衡器管理员 load-balancer-admin False 项目 Role
LoggingRule Creator loggingrule-creator False 项目 Role
LoggingRule 编辑器 loggingrule-editor False 项目 Role
LoggingRule Viewer loggingrule-viewer False 项目 Role
LoggingTarget 创建者 loggingtarget-creator False 项目 Role
LoggingTarget 编辑器 loggingtarget-editor False 项目 Role
LoggingTarget Viewer loggingtarget-viewer False 项目 Role
Managed DNS Project Admin managed-dns-project-admin False 项目 Role
Managed DNS Project Viewer managed-dns-project-viewer False 项目 Role
MonitoringRule 编辑器 monitoringrule-editor False 项目 Role
MonitoringRule Viewer monitoringrule-viewer False 项目 Role
MonitoringTarget 编辑器 monitoringtarget-editor False 项目 Role
MonitoringTarget Viewer monitoringtarget-viewer False 项目 Role
命名空间管理员 namespace-admin False 项目 ProjectRole
NAT 查看器 nat-viewer False 项目 ProjectRole
ObservabilityPipeline Editor observabilitypipeline-editor False 项目 Role
ObservabilityPipeline Viewer observabilitypipeline-viewer False 项目 Role
项目级存储桶管理员 project-bucket-admin False 项目 Role
Project Bucket Object Admin project-bucket-object-admin False 项目 Role
Project Bucket Object Viewer project-bucket-object-viewer False 项目 Role
Project Cortex Alertmanager 编辑者 project-cortex-alertmanager-editor False 项目 Role
Project Cortex Alertmanager Viewer project-cortex-alertmanager-viewer False 项目 Role
Project Cortex Prometheus 查看器 project-cortex-prometheus-viewer False 项目 Role
Project FileShare Admin project-fileshare-admin False 项目 Role
Project Grafana Viewer project-grafana-viewer False 项目 Role
Project Maintenance Policy Admin project-mp-admin False 项目 Role
项目维护政策绑定编辑器 project-mpb-editor False 项目 Role
Project Maintenance Policy Binding Viewer project-mpb-viewer False 项目 Role
项目维护政策编辑器 project-mp-editor False 项目 Role
Project Maintenance Policy Viewer project-mp-viewer False 项目 Role
项目 NetworkPolicy 管理员 project-networkpolicy-admin False 项目 Role
Project Viewer project-viewer False 项目 Role
Project VirtualMachine Admin project-vm-admin False 项目 Role
Project VirtualMachine Image Admin project-vm-image-admin False 项目 Role
Secret Admin secret-admin False 项目 Role
Secret Viewer secret-viewer False 项目 Role
Spark Operator mkt-spark-operator False 组织 Role
子网项目管理员 subnet-project-admin False 项目 Role
子网项目运算符 subnet-project-operator False 项目 Role
卷复制管理员 app-volume-replication-admin False 组织 ClusterRole
Workload Viewer workload-viewer False 项目 ProjectRole

AO 角色、预定义身份和访问角色

AO 角色
名称 绑定类型 Management API 服务器权限 Kubernetes 集群权限 升级为
Project IAM Admin RoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、ProjectClusterRole、ProjectRoleBinding 和 ProjectClusterRoleBinding：创建、读取、更新、删除和绑定
  • ProjectServiceAccount：创建、读取、更新和删除
  • 列出项目命名空间
 不适用 所有其他 AO 角色
AI Ocr Developer RoleBinding OCR 资源：读取和写入 不适用 不适用
AI 语音开发者 RoleBinding 语音资源：读取和写入 不适用 不适用
AI Translation Developer RoleBinding 翻译资源：读写 不适用 不适用
Certificate Authority Service Admin RoleBinding 证书授权机构和证书请求：获取、列出、观看、更新、创建、删除和修补 不适用 不适用
Certificate Service Admin RoleBinding 证书和证书签发者：获取、列出、观看、更新、创建、删除和修补 不适用 不适用
Custom Role Project Admin RoleBinding 自定义角色项目资源：创建、获取、列出、监控、更新、修补和删除 不适用 不适用
信息中心编辑器 RoleBinding Dashboard 自定义资源：获取、读取、创建、更新、删除和修补 不适用 不适用
信息中心查看器 RoleBinding Dashboard：获取并读取 不适用 不适用
调试 AuditLoggingTarget 自定义资源 RoleBinding
  • DNS 注册：获取、列出
  • Audit logging targets：获取、列出、更新、删除、修补
 不适用 不适用
Harbor Instance Viewer RoleBinding Harbor 实例：读取 不适用 不适用
Harbor 项目创建者 RoleBinding Harbor 实例项目：创建、获取和观看 不适用 不适用
K8S NetworkPolicy Admin ProjectRoleBinding 不适用 NetworkPolicy 资源：创建、读取、获取、更新、删除和修补 不适用
负载平衡器管理员 RoleBinding 不适用
  • Backend：获取、观看、列出、创建、修补、更新和删除
  • HealthCheck：获取、观看、列出、创建、修补、更新和删除
  • BackendService：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleExternal：获取、观看、列出、创建、修补、更新和删除
  • ForwardingRuleInternal：获取、观看、列出、创建、修补、更新和删除
 不适用
LoggingRule Creator RoleBinding LoggingRule 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingRule 编辑器 RoleBinding LoggingRule 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
LoggingRule Viewer RoleBinding LoggingRule 自定义资源：读取 不适用 不适用
LoggingTarget 创建者 RoleBinding LoggingTarget 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingTarget 编辑器 RoleBinding LoggingTarget 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
LoggingTarget Viewer RoleBinding LoggingTarget 自定义资源：读取 不适用 不适用
Managed DNS Project Admin RoleBinding
  • 受管理的 DNS 区域和资源记录集（ManagedDNSZone、ResourceRecordSet）：创建、读取、更新、修补和删除
 不适用 不适用
Managed DNS Project Viewer RoleBinding 受管理的 DNS 区域和资源记录集（ManagedDNSZone、ResourceRecordSet）：获取、列出和观看 不适用 不适用
MonitoringRule 编辑器 RoleBinding MonitoringRule 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringRule Viewer RoleBinding MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget 编辑器 RoleBinding MonitoringTarget 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringTarget Viewer RoleBinding MonitoringTarget 自定义资源：读取 不适用 不适用
命名空间管理员 ProjectRoleBinding 不适用 所有资源：项目命名空间中的读写权限 不适用
NAT 查看器 ProjectRoleBinding 不适用 部署：获取和读取 不适用
ObservabilityPipeline Editor RoleBinding ObservabilityPipeline 资源：获取、读取、创建、更新、删除和修补 不适用 不适用
ObservabilityPipeline Viewer RoleBinding ObservabilityPipeline 资源：获取和阅读 不适用 不适用
项目级存储桶管理员 RoleBinding 存储桶：在项目命名空间中读取和写入 不适用 不适用
Project Bucket Object Admin RoleBinding
  • 存储桶：读取
  • 对象：读取和写入
 不适用 不适用
Project Bucket Object Viewer RoleBinding 存储桶和对象：读取 不适用 不适用
Project Cortex Alertmanager 编辑者 RoleBinding Cortex 系统和 Cortex Alertmanager：读取和写入 不适用 不适用
Project Cortex Alertmanager Viewer RoleBinding Cortex 系统和 Cortex Alertmanager：已读 不适用 不适用
Project Cortex Prometheus 查看器 RoleBinding Cortex 系统和 Cortex Prometheus：请参阅 不适用 不适用
Project FileShare Admin RoleBinding 文件共享、导出组和导出组绑定：创建、获取、列出、监控和删除 不适用 不适用
Project Grafana Viewer RoleBinding Grafana 系统和 Grafana：读取和写入 不适用 不适用
Project Maintenance Policy Admin RoleBinding 项目维护政策资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
项目维护政策绑定编辑器 RoleBinding 项目维护政策绑定资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
Project Maintenance Policy Binding Viewer RoleBinding 项目维护政策绑定资源：获取、列出和观看 不适用 不适用
项目维护政策编辑器 RoleBinding 项目维护政策资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
Project Maintenance Policy Viewer RoleBinding 项目维护政策资源：获取、列出和观看 不适用 不适用
项目 NetworkPolicy 管理员 RoleBinding 项目网络政策：在项目命名空间中读取和写入 不适用 不适用
Project Viewer RoleBinding 项目命名空间中的所有资源：读取 不适用 不适用
Project VirtualMachine Admin RoleBinding
  • 虚拟机、磁盘、访问请求、外部访问、备份请求、备份、恢复请求、删除备份请求、恢复和密码重置请求：读取、创建、更新和删除
  • 虚拟机重启：放置
  • 虚拟机映像、备份方案和备份方案模板：读取
 不适用 不适用
Project VirtualMachine Image Admin RoleBinding
  • 虚拟机映像：读取
  • 虚拟机映像导入：读取和写入
  • 存储桶：创建
  • “vm-images-bucket”存储桶：读取和写入
 不适用 不适用
Secret Admin RoleBinding Kubernetes Secret：读取、创建、更新、删除和修补 不适用 不适用
Secret Viewer RoleBinding Kubernetes Secret：阅读 不适用 不适用
Spark Operator RoleBinding Spark 资源：创建、获取、列出、观看、更新、修补和删除 不适用 不适用
子网项目管理员 RoleBinding 子网项目资源：创建、获取、列出、监控、更新、修补和删除 不适用 不适用
子网项目运算符 RoleBinding Subnet 资源：创建、获取、列出和删除 不适用 不适用
卷复制管理员 ClusterRoleBinding Volume failovers, volume relationship replicas： 创建、获取、列出、观看、删除 不适用 不适用
Workload Viewer ProjectRoleBinding 不适用
  • 项目命名空间中的 Pod 自定义资源：读取
  • 项目命名空间中的部署自定义资源：读取
 不适用

常见的预定义身份和访问权限角色

常见角色
名称 Kubernetes 资源名称 初始管理员 级别 类型
信息中心编辑器 dashboard-editor False 组织 / 项目 ClusterRole/Role
信息中心查看器 dashboard-viewer False 组织 / 项目 ClusterRole/Role
Flow Log Admin flowlog-admin False 组织 ClusterRole
流日志查看器 flowlog-viewer False 组织 ClusterRole
LoggingRule Creator loggingrule-creator False 组织 / 项目 ClusterRole/Role
LoggingRule 编辑器 loggingrule-editor False 组织 / 项目 ClusterRole/Role
LoggingRule Viewer loggingrule-viewer False 组织 / 项目 ClusterRole/Role
LoggingTarget 创建者 loggingtarget-creator False 组织 / 项目 ClusterRole/Role
LoggingTarget 编辑器 loggingtarget-editor False 组织 / 项目 ClusterRole/Role
LoggingTarget Viewer loggingtarget-viewer False 组织 / 项目 ClusterRole/Role
MonitoringRule 编辑器 monitoringrule-editor False 组织 / 项目 ClusterRole/Role
MonitoringRule Viewer monitoringrule-viewer False 组织 / 项目 ClusterRole/Role
MonitoringTarget 编辑器 monitoringtarget-editor False 组织 / 项目 ClusterRole/Role
MonitoringTarget Viewer monitoringtarget-viewer False 组织 / 项目 ClusterRole/Role
ObservabilityPipeline Editor observabilitypipeline-editor False 组织 / 项目 ClusterRole/Role
ObservabilityPipeline Viewer observabilitypipeline-viewer False 组织 / 项目 ClusterRole/Role
系统 Artifact Registry anthos-creds secret 监控器 sar-anthos-creds-secret-monitor False 组织 Role

常见的预定义身份和访问权限角色

常见角色
名称 绑定类型 管理员集群权限 Kubernetes 集群权限 升级为
信息中心编辑器 ClusterRoleBinding/RoleBinding Dashboard 自定义资源：获取、读取、创建、更新、删除和修补 不适用 不适用
信息中心查看器 ClusterRoleBinding/RoleBinding Dashboard：获取并读取 不适用 不适用
Flow Log Admin ClusterRoleBinding 流日志资源：创建、获取、读取、修补、更新和删除 流日志资源：创建、获取、读取、修补、更新和删除 不适用
流日志查看器 ClusterRoleBinding 流日志资源：获取和读取 流日志资源：获取和读取 不适用
LoggingRule Creator ClusterRoleBinding/RoleBinding LoggingRule 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingRule 编辑器 ClusterRoleBinding/RoleBinding LoggingRule 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
LoggingRule Viewer ClusterRoleBinding/RoleBinding LoggingRule 自定义资源：读取 不适用 不适用
LoggingTarget 创建者 ClusterRoleBinding/RoleBinding LoggingTarget 自定义资源：创建、获取、列出和观看 不适用 不适用
LoggingTarget 编辑器 ClusterRoleBinding/RoleBinding LoggingTarget 自定义资源：获取、列出、观看、更新、删除和修补 不适用 不适用
LoggingTarget Viewer ClusterRoleBinding/RoleBinding LoggingTarget 自定义资源：读取 不适用 不适用
MonitoringRule 编辑器 ClusterRoleBinding/RoleBinding MonitoringRule 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringRule Viewer ClusterRoleBinding/RoleBinding MonitoringRule 自定义资源：读取 不适用 不适用
MonitoringTarget 编辑器 ClusterRoleBinding/RoleBinding MonitoringTarget 自定义资源：创建、读取、更新、删除和修补 不适用 不适用
MonitoringTarget Viewer ClusterRoleBinding/RoleBinding MonitoringTarget 自定义资源：读取 不适用 不适用
ObservabilityPipeline Editor ClusterRoleBinding/RoleBinding ObservabilityPipeline 资源：获取、读取、创建、更新、删除和修补 不适用 不适用
ObservabilityPipeline Viewer ClusterRoleBinding/RoleBinding ObservabilityPipeline 资源：获取和阅读 不适用 不适用
系统 Artifact Registry anthos-creds secret 监控器 RoleBinding anthos-creds 密钥：获取和读取 anthos-creds 密钥：获取和读取 不适用