角色定義

本節的表格說明不同的預先定義角色及其權限。表格包含下列資料欄：

  • 名稱：使用者介面中顯示的角色名稱。
  • Kubernetes 資源名稱：對應 Kubernetes 自訂資源的名稱。
  • 層級：指定這個角色是否受機構或專案的範圍限制。
  • 類型：這個角色的類型。例如，可能的值包括 Role、ProjectRole、ClusterRole 或 ProjectClusterRole。
  • 繫結類型：您必須套用至這個角色的繫結類型。
  • Management API 伺服器或 Kubernetes 叢集權限：這個角色在 Management API 伺服器或 Kubernetes 叢集擁有的權限。舉例來說，可能的值包括讀取、寫入、讀取和寫入，或不適用 (N/A)。
  • 升級至：指定這個角色是否會升級至其他角色。

角色類型

  • ClusterRole：管理 API 伺服器或 Kubernetes 叢集中的叢集範圍，是 Kubernetes 角色式存取控管 (RBAC) 角色。
  • 角色：管理 API 伺服器或 Kubernetes 叢集命名空間範圍內的 Kubernetes RBAC 角色。
  • ProjectRole：自訂資源定義 (CRD)，其中定義了權限，並繫結至 Kubernetes 叢集和命名空間。專案角色會以 Role 形式傳播至 Kubernetes 叢集。
  • OrganizationRole：定義權限的 CRD，會以 ClusterRole 形式傳播至 Kubernetes 叢集。

預先定義的身分與存取權角色表

下表詳細列出指派給基礎架構運算子 (IO)、平台管理員 (PA) 和應用程式運算子 (AO) 預先定義角色的權限：

IO Persona、預先定義的身分與存取權角色

IO 角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
安全管理員 security-admin 是 組織 ClusterRole
AI 模型發布商 ai-models-distributor 否 組織 ClusterRole
AI 模型發布商 ai-models-infra-distributor 否 組織 ClusterRole
AIS Monitor ais-monitor 否 組織 Role
Anthos Identity Service 管理員 ais-admin 否 組織 Role
APPLSTOR 監控器 applstor-monitor-cp 否 組織 ClusterRole
APPLSTOR 密鑰輪換器 applstor-secret-rotator-cp 否 組織 Role
稽核記錄備份還原建立者 audit-logs-backup-restore-creator 否 組織 Role
稽核記錄備份還原編輯者 audit-logs-backup-restore-editor 否 組織 Role
稽核記錄基礎架構 Bucket 檢視者 audit-logs-infra-bucket-viewer 否 組織 Role
AuditLoggingRule 編輯者 loggingrule-editor 否 組織 ClusterRole
AuditLoggingTarget 建立者 auditloggingtarget-creator 否 組織 ClusterRole
AuditLoggingTarget 編輯器 auditloggingtarget-editor 否 組織 ClusterRole
AuditLoggingTarget 編輯器 loggingtarget-editor 否 組織 ClusterRole
AuditLoggingTarget 檢視者 auditloggingtarget-viewer 否 組織 ClusterRole
Bundledidp 管理員 bundledidp-admin 否 組織 Role
Cert Manager 監控器 platauth-cert-manager-monitor 否 組織 ClusterRole
憑證輪換監控 platauth-credential-rotation-monitor 否 組織 ClusterRole
資訊主頁建立者 dashboard-creator 否 組織 ClusterRole
資訊主頁編輯器 dashboard-editor 否 組織 ClusterRole
資訊主頁檢視者 dashboard-viewer 否 組織 ClusterRole
DNS 金鑰監控器 dns-key-monitor 否 組織 Role
DNS 監控 dns-monitor-cp 否 組織 ClusterRole
緊急 SSH 憑證管理員 emergencysshcreds-admin 否 組織 Role
根管理員叢集中的 FeatureGate Overrider featuregate-overrider-root 否 組織 ClusterRole
根層級和機構組織管理員叢集中的 FeatureGate Overrider (舊版) featuregate-overrider-legacy 否 組織 ClusterRole
FILE 監控 file-monitor-cp 否 組織 ClusterRole
FILE 密鑰輪換器 file-secret-rotator-cp 否 組織 Role
FluentBit Creator fluentbit-creator 否 組織 ClusterRole
FluentBit 編輯者 fluentbit-editor 否 組織 ClusterRole
FluentBit IO Creator fluentbit-io-creator 否 組織 ClusterRole
FluentBit IO 編輯者 fluentbit-io-editor 否 組織 ClusterRole
FluentBit IO 檢視者 fluentbit-io-viewer 否 組織 ClusterRole
FluentBit 檢視者 fluentbit-viewer 否 組織 ClusterRole
Grafana 檢視者 grafana-viewer 否 組織 ClusterRole
Harbor 執行個體運算子 harbor-instance-operator 否 組織 ClusterRole
硬體管理員 hardware-admin 否 組織 ClusterRole
IAM 監控器 iam-monitor 否 組織 ClusterRole
IAM 監控器 iam-monitor 否 組織 Role
Interconnect 管理員 interconnect-admin-cp 否 組織 ClusterRole
KUB Monitor kub-monitor 否 組織 ClusterRole
記錄 obs-system 管理員叢集監控 log-monitor 否 組織 Role
LogCollector Creator logcollector-creator 否 組織 ClusterRole
LogCollector 編輯者 logcollector-editor 否 組織 ClusterRole
LogCollector IO Creator logcollector-io-creator 否 組織 ClusterRole
LogCollector IO 編輯者 logcollector-io-editor 否 組織 ClusterRole
LogCollector IO Viewer logcollector-io-viewer 否 組織 ClusterRole
LogCollector 檢視器 logcollector-viewer 否 組織 ClusterRole
LoggingRule Creator loggingrule-creator 否 組織 ClusterRole
LoggingRule 檢視者 loggingrule-viewer 否 組織 ClusterRole
LoggingTarget Creator loggingtarget-creator 否 組織 ClusterRole
LoggingTarget 檢視者 loggingtarget-viewer 否 組織 ClusterRole
記錄檔 bucket 檢視者 logs-bucket-viewer 否 組織 Role
記錄還原管理員 logs-restore-admin 否 組織 Role
記錄檔轉移管理員 logs-transfer-admin 否 組織 Role
MonitoringRule Creator monitoringrule-creator 否 組織 ClusterRole
MonitoringRule 編輯者 monitoringrule-editor 否 組織 ClusterRole
MonitoringRule 檢視者 monitoringrule-viewer 否 組織 ClusterRole
MonitoringTarget Creator monitoringtarget-creator 否 組織 ClusterRole
MonitoringTarget 編輯者 monitoringtarget-editor 否 組織 ClusterRole
MonitoringTarget 檢視者 monitoringtarget-viewer 否 組織 ClusterRole
MZ Bootstrap Anchor Reader mz-bootstrap-anchor-reader 否 組織 ClusterRole
MZ Bootstrap Joining Editor mz-bootstrap-joining-editor 否 組織 ClusterRole
MZ Etcd Controller 編輯者 mz-etcd-controller-editor 否 組織 Role
MZ Etcd 子元件管理員 mz-etcd-subcomponent-admin 否 組織 ClusterRole
MZ Monitor mz-monitor 否 組織 ClusterRole
Observability 檢視者 observability-viewer 否 組織 Role
ObservabilityPipeline 建立者 observabilitypipeline-creator 否 組織 ClusterRole
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 組織 ClusterRole
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 組織 ClusterRole
OCLCM 檢視者 oclcm-viewer 否 組織 ClusterRole
機構管理員 organization-admin 否 組織 ClusterRole
機構升級管理員 organization-upgrade-admin 否 組織 ClusterRole
PNET 監控器 pnet-monitor 否 組織 ClusterRole
PSPF 監控器 pspf-monitor 否 組織 Role
遠端記錄器管理員 remote-logger-admin 否 組織 Role
遠端記錄器管理員 remote-logger-admin-root 否 組織 Role
遠端記錄器檢視器 remote-logger-viewer 否 組織 Role
遠端記錄器檢視器 remote-logger-viewer-root 否 組織 Role
根層級 Cortex Alertmanager 編輯者 root-cortex-alertmanager-editor 否 組織 Role
根層級 Cortex Alertmanager 檢視者 root-cortex-alertmanager-viewer 否 組織 Role
根 Cortex Prometheus 檢視器 root-cortex-prometheus-viewer 否 組織 Role
根工作階段管理員 root-session-admin 否 組織 Role
安全性檢視者 security-viewer 否 組織 ClusterRole
ServiceLevelObjective 檢視者 servicelevelobjective-viewer 否 組織 ClusterRole
Storage 複寫管理員 storage-replication-admin 否 組織 ClusterRole
子網路管理員 subnet-admin 否 組織 ClusterRole
系統構件管理管理員 system-artifact-management-admin 否 組織 Role
系統構件管理密鑰管理員 system-artifact-management-secrets-admin 否 組織 Role
系統 Artifact Registry anthos-creds 密鑰監控 sar-anthos-creds-secret-monitor 否 組織 Role
系統 Artifact Registry gpc-system 密鑰監控器 sar-gpc-system-secret-monitor 否 組織 Role
Artifact Registry Harbor 管理員 sar-harbor-admin 否 組織 Role
Artifact Registry Harbor 管理員 sar-harbor-test 否 組織 Role
系統 Artifact Registry Harbor 讀取 sar-harbor-read 否 組織 Role
System Artifact Registry Harbor ReadWrite sar-harbor-readwrite 否 組織 Role
系統 Artifact Registry harbor-system 密鑰監控 sar-harbor-system-secret-monitor 否 組織 Role
系統 Artifact Registry 監控 sar-monitor 否 組織 ClusterRole
Transfer Appliance 申請管理員 transfer-appliance-request-admin 否 組織 ClusterRole
信任組合根監控 platauth-trust-bundle-root-monitor 否 組織 Role
UNET CLI 監控工具 unet-cli-monitor-infra 否 組織 ClusterRole
UNET CLI 使用者監控器 unet-cli-user-monitor 否 組織 OrganizationRole
UNET Monitor unet-monitor-infra 否 組織 ClusterRole
升級管理員 upgrade-admin 否 組織 ClusterRole
升級為設備管理員 upgrade-admin-te 否 組織 ClusterRole
使用者叢集 UNET 監控 user-cluster-unet-monitor 否 組織 OrganizationRole
檢視者 viewer 否 組織 ClusterRole

IO 角色、預先定義的身分和存取權角色

IO 角色
名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限 升級至
安全管理員 ClusterRoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、OrganizationClusterRole、ProjectRoleBinding 和 OrganizationRoleBinding：建立、讀取、更新及刪除
  • GKE Identity Service (AIS) 自訂資源 (CR)：讀取和寫入
 不適用 機構 IAM 管理員和所有其他 IO 角色
AI 模型發布者 (ai-models-distributor) ClusterRoleBinding 值區：清單
ConfigMap 和命名空間：取得		 不適用 不適用
AI 模型發布者 (ai-models-infra-distributor) ClusterRoleBinding ConfigMap 和命名空間：取得 不適用 不適用
AIS Monitor RoleBinding anthos-identity-service 命名空間中的 AIS 資源：讀取 不適用 不適用
Anthos Identity Service 管理員 RoleBinding
  • AIS Pod 部署：讀取和寫入
  • AIS 加密密鑰：刪除
 不適用 不適用
APPLSTOR 監控器 ClusterRoleBinding asmconfigs：取得、列出 不適用 不適用
APPLSTOR 密鑰輪換器 RoleBinding Object storage secrets：Get、patch 不適用 不適用
稽核記錄備份還原建立者 RoleBinding 稽核記錄備份還原資源：建立、取得、列出及監看 不適用 不適用
稽核記錄備份還原編輯者 RoleBinding 備份 bucket：讀取及寫入 不適用 不適用
稽核記錄基礎架構 Bucket 檢視者 RoleBinding 備份 bucket：讀取 不適用 不適用
AuditLoggingRule 編輯者 ClusterRoleBinding LoggingRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
AuditLoggingTarget 建立者 ClusterRoleBinding AuditLoggingTarget 資源：建立、取得、列出及監看 不適用 不適用
AuditLoggingTarget 編輯者 (auditloggingtarget-editor) ClusterRoleBinding AuditLoggingTarget 資源：取得、列出、監看、更新、修補及刪除 不適用 不適用
AuditLoggingTarget 編輯者 (loggingtarget-editor) ClusterRoleBinding LoggingTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
AuditLoggingTarget 檢視者 ClusterRoleBinding AuditLoggingTarget 資源：取得、列出及監看 不適用 不適用
Bundledidp 管理員 RoleBinding Bundledidp 資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
Cert Manager 監控器 ClusterRoleBinding Cert Manager 資源：取得、列出及監看 不適用 不適用
憑證輪換監控 ClusterRoleBinding 憑證輪替資源：取得、列出及監控 不適用 不適用
資訊主頁建立者 ClusterRoleBinding Dashboard 自訂資源：取得、列出、觀看、建立 不適用 不適用
資訊主頁編輯器 ClusterRoleBinding Dashboard 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 ClusterRoleBinding Dashboard：取得及讀取 不適用 不適用
DNS 金鑰監控器 RoleBinding 網域名稱系統 (DNS) 重要資源：取得、列出及監控 不適用 不適用
DNS 監控 ClusterRoleBinding 不適用 ConfigMap、Secret、DNS 註冊 API、DNS 服務、DNS 部署作業：讀取 不適用
緊急 SSH 憑證管理員 RoleBinding 不適用 EmergencySshCredentials：建立、讀取及修補 不適用
根管理員叢集中的 FeatureGate Overrider ClusterRoleBinding KubeAPIServer 資源：取得、列出及觀看 不適用 不適用
根層級和機構組織管理員叢集中的 FeatureGate Overrider (舊版) ClusterRoleBinding KubeAPIServer 和 ControlPlane 資源：取得、列出及觀看 不適用 不適用
FILE 監控 ClusterRoleBinding asmconfigs 和 InventoryMachine 資源：取得及列出 不適用 不適用
FILE 密鑰輪換器 RoleBinding FILE 密鑰輪替器資源：取得、列出、修補及更新密鑰 不適用 不適用
FluentBit Creator ClusterRoleBinding FluentBit 資源：建立、取得、列出及監控 不適用 不適用
FluentBit 編輯者 ClusterRoleBinding FluentBit 資源：取得、列出、監看、更新、修補及刪除 不適用 不適用
FluentBit IO Creator ClusterRoleBinding FluentBit 自訂資源：讀取及寫入 不適用 不適用
FluentBit IO 編輯者 ClusterRoleBinding FluentBit 自訂資源：讀取及寫入 不適用 不適用
FluentBit IO 檢視者 ClusterRoleBinding FluentBit 自訂資源：讀取 不適用 不適用
FluentBit 檢視者 ClusterRoleBinding FluentBit 資源：取得、列出及監看 不適用 不適用
Grafana 檢視者 ClusterRoleBinding GrafanaSystem 和 Grafana：讀取及寫入 不適用 不適用
Harbor 執行個體運算子 ClusterRoleBinding Harbor 執行個體部署作業和部署作業記錄：取得、修補及更新 不適用 不適用
硬體管理員 ClusterRoleBinding 硬體相關 CRD：讀取和寫入 不適用 不適用
IAM 監控者 (iam-monitor、ClusterRole) ClusterRoleBinding Identity and Access Management (IAM) 資源：取得、列出及監控 不適用 不適用
IAM 監控者 (iam-monitor、Role) RoleBinding IAM 資源：取得、列出及監看 不適用 不適用
Interconnect 管理員 ClusterRoleBinding 不適用 互連網路連結和連結群組：取得、列出、監控、建立、更新、刪除、修補 不適用
KUB Monitor ClusterRoleBinding 使用者叢集 (KUB) 資源：讀取 不適用 不適用
記錄 obs-system 管理員叢集監控 RoleBinding 記錄 obs-system 管理員叢集監控資源：取得、列出及監看 不適用 不適用
LogCollector Creator ClusterRoleBinding LogCollector 資源：建立、取得、列出及監看 不適用 不適用
LogCollector 編輯者 ClusterRoleBinding LogCollector 資源：取得、列出、監看、更新、修補及刪除 不適用 不適用
LogCollector IO Creator ClusterRoleBinding LogCollector 自訂資源：讀取及寫入 不適用 不適用
LogCollector IO 編輯者 ClusterRoleBinding LogCollector 自訂資源：讀取及寫入 不適用 不適用
LogCollector IO Viewer ClusterRoleBinding LogCollector 自訂資源：讀取 不適用 不適用
LogCollector 檢視器 ClusterRoleBinding LogCollector 資源：取得、列出及觀看 不適用 不適用
LoggingRule Creator ClusterRoleBinding LoggingRule 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingRule 檢視者 ClusterRoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget Creator ClusterRoleBinding LoggingTarget 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingTarget 檢視者 ClusterRoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
記錄檔 bucket 檢視者 RoleBinding 記錄檔 bucket 資源：取得、列出及監看 不適用 不適用
記錄還原管理員 RoleBinding 記錄還原資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
記錄檔轉移管理員 RoleBinding 記錄轉移資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
MonitoringRule Creator ClusterRoleBinding MonitoringRule 資源：建立、取得、列出及觀看 不適用 不適用
MonitoringRule 編輯者 ClusterRoleBinding MonitoringRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 ClusterRoleBinding MonitoringRule 自訂資源：讀取 不適用 不適用
MonitoringTarget Creator ClusterRoleBinding MonitoringTarget 自訂資源：取得、列出、觀看、建立 不適用 不適用
MonitoringTarget 編輯者 ClusterRoleBinding MonitoringTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 ClusterRoleBinding MonitoringTarget 自訂資源：讀取 不適用 不適用
MZ Bootstrap Anchor Reader ClusterRoleBinding 區域、全域 API 區域、服務、設定對應和 DNS 註冊：取得、列出及監控 不適用 不適用
MZ Bootstrap Joining Editor ClusterRoleBinding 多區域 (MZ) Bootstrap Joining 資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
MZ Etcd Controller 編輯者 RoleBinding Etcd 控制器部署作業、副本集和 Pod：取得及修補 不適用 不適用
MZ Etcd 子元件管理員 ClusterRoleBinding Subcomponent 資源：取得、列出、更新、修補及刪除 不適用 不適用
MZ Monitor ClusterRoleBinding MZ 資源：取得、列出及觀看 不適用 不適用
Observability 檢視者 RoleBinding obs-system namespace：讀取 obs-system namespace：讀取 不適用
ObservabilityPipeline 建立者 ClusterRoleBinding ObservabilityPipeline 資源：建立、取得、列出及監看 不適用 不適用
ObservabilityPipeline 編輯者 ClusterRoleBinding ObservabilityPipeline 資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 ClusterRoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
OCLCM 檢視者 ClusterRoleBinding oclcm-viewer：
  • 元件、元件推出、子元件、子元件覆寫：讀取
 oclcm-viewer-root：
  • 元件、元件推出、子元件和子元件覆寫：閱讀
 不適用
機構管理員 ClusterRoleBinding
  • 機構 CR：讀取及寫入
  • 機構升級和發布中繼資料：讀取
 不適用 不適用
機構升級管理員 ClusterRoleBinding 升級設定檔對應：取得 不適用 不適用
PNET 監控器 ClusterRoleBinding 不適用 實體網路 (PNET) 部署作業、部署記錄、Pod、Pod 記錄、子網路聲明和交換器：讀取 不適用
PSPF 監控器 RoleBinding 不適用 政策 Proxy (PSPF) 部署記錄、Pod、Pod 記錄：取得、列出、監看 不適用
遠端記錄器管理員 (remote-logger-admin) RoleBinding 部署作業：讀取、更新、修補及刪除 部署作業：讀取、更新、修補及刪除 不適用
遠端記錄器管理員 (remote-logger-admin-root) RoleBinding 部署作業：讀取、更新、修補及刪除 部署作業：讀取、更新、修補及刪除 不適用
遠端記錄器檢視者 (remote-logger-viewer) RoleBinding 部署作業：讀取 部署作業：讀取 不適用
遠端記錄器檢視者 (remote-logger-viewer-root) RoleBinding 部署作業：讀取 部署作業：讀取 不適用
根層級 Cortex Alertmanager 編輯者 RoleBinding 不適用 Cortex Alertmanager、記錄規則和監控規則自訂資源：建立、刪除、讀取、修補及更新 不適用
根層級 Cortex Alertmanager 檢視者 RoleBinding 不適用 Cortex Alertmanager、記錄規則和監控規則自訂資源：讀取 不適用
根 Cortex Prometheus 檢視器 RoleBinding 不適用 Cortex 系統和 Cortex Prometheus：請參閱 不適用
根工作階段管理員 RoleBinding 不適用 Istio 資源管理工具：建立、讀取、更新、刪除及修補 不適用
安全性檢視者 ClusterRoleBinding
  • RoleBinding 和 ClusterRoleBinding：讀取
  • Role 和 ClusterRole：讀取
  • AIS CR：讀取
 不適用 不適用
ServiceLevelObjective 檢視者 ClusterRoleBinding ServiceLevelObjective 資源：取得、列出及監控 不適用 不適用
Storage 複寫管理員 ClusterRoleBinding 儲存叢集對接、儲存虛擬機器對接、磁碟區複寫關係和磁碟區容錯移轉：建立、取得、列出、監看及刪除 不適用 不適用
子網路管理員 ClusterRoleBinding 子網路資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
系統構件管理管理員 RoleBinding HarborProjects：管理員、建立、讀取、寫入、刪除及查看
  • Harbor 專案和使用者憑證：建立、刪除及讀取
  • HarborProjects：管理員、讀取、寫入
  • 發布構件：建立、刪除、更新及讀取
  • image-label-map configmap：建立、刪除、更新及讀取
  • 伺服器、信任儲存區 ConfigMap：讀取
 不適用
系統構件管理密鑰管理員 RoleBinding 不適用
  • 叢集內登錄檔：讀取
  • 升級登錄檔鏡像：建立、讀取、更新及刪除
 不適用
系統 Artifact Registry anthos-creds 密鑰監控 RoleBinding anthos-creds 密鑰：取得及讀取 anthos-creds 密鑰：取得及讀取 不適用
系統 Artifact Registry gpc-system 密鑰監控器 RoleBinding gpc-system 密鑰：取得及讀取 gpc-system 密鑰：取得及讀取 不適用
系統 Artifact Registry Harbor 管理員 (sar-harbor-admin) RoleBinding Harbor 專案：建立、讀取、更新、修補及刪除 Harbor 專案：建立、讀取、更新、修補及刪除 不適用
系統 Artifact Registry Harbor 管理員 (sar-harbor-test) RoleBinding Harbor 專案：建立、讀取、更新、修補及刪除 Harbor 專案：建立、讀取、更新、修補及刪除 不適用
系統 Artifact Registry Harbor 讀取 RoleBinding 不適用 Harbor 專案：讀取 不適用
System Artifact Registry Harbor ReadWrite RoleBinding 不適用 Harbor 專案：建立、讀取及寫入 不適用
系統 Artifact Registry harbor-system 密鑰監控 RoleBinding harbor-system 密鑰：取得及讀取 harbor-system 密鑰：取得及讀取 不適用
系統 Artifact Registry 監控 ClusterRoleBinding 不適用 Harbor 叢集、Secret 和 CRD：讀取 不適用
Transfer Appliance 申請管理員 ClusterRoleBinding TransferApplianceRequest 資源和狀態：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
信任組合根監控 RoleBinding 信任套件設定對應：取得、列出及監看 不適用 不適用
UNET CLI 監控工具 ClusterRoleBinding 上層網路 (UNET) 指令列介面 (CLI) 資源：取得、列出及監看 不適用 不適用
UNET CLI 使用者監控器 OrganizationRoleBinding 不適用
  • 網路資源、密鑰、ConfigMap、Cilium 端點、虛擬機器 (VM)、VM 執行階段、部署作業、叢集、命名空間、CRD：讀取
  • Pod：讀取及建立
 不適用
UNET Monitor ClusterRoleBinding UNET 資源：取得、列出及觀看 不適用 不適用
升級管理員 ClusterRoleBinding 升級資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
升級為設備管理員 ClusterRoleBinding SubcomponentOverrides：取得、列出、建立、更新及修補
  • Organization：Get、list、update、patch 和 watch
  • OrganizationUpgrade：取得
 不適用
使用者叢集 UNET 監控 OrganizationRoleBinding 不適用 專案、專案網路政策、ConfigMap、祕密、憑證、憑證簽發者、套件、部署作業、常駐程式集、有狀態集、Pod、Pod 記錄、服務、端點、端點切片、網路政策、網路記錄、Cilium、網路、網路介面、VM、VM 執行個體、網路、叢集無類別網域間路由 (CIDR) 設定、扁平 IP 模式、ConfigMap 轉送器、祕密轉送器、健康狀態檢查、節點集區聲明、節點集區、外掛程式設定、流量記錄和流量記錄狀態、邊界閘道通訊協定 (BGP) 對等互連、BGP 播送的路由、BGP 收到的路由、BGP 工作階段、BGP 負載平衡器、輸出網路位址轉譯 (NAT) 政策、網路閘道群組、網路閘道節點、扁平 IP 模式、多叢集連線設定、虛擬私有網路 (VPN) 通道和流量轉送：取得及讀取 不適用
檢視者 ClusterRoleBinding 檢視者資源：取得、列出及觀看 不適用 不適用

IO Persona、預先定義的偵錯工具角色

如果遇到問題，IO 會使用預先定義的偵錯工具角色來排解及解決問題。這些角色可授予 IO 組織全域管理權限，並提升讀取和寫入權限。有了這項存取權，IO 就能檢查記錄、修改設定，以及管理整個基礎架構的資源，包括 Management API 伺服器、機構基礎架構叢集和使用者 Kubernetes 叢集。

所有偵錯工具角色都具備下列特徵：

  • 範圍為機構層級。
  • 根據預設，不會指派給初始管理員。
  • 請勿將問題轉給其他角色。

下表列出 IO 在這些作業期間使用的權限：

IO 角色偵錯工具角色
名稱 Kubernetes 資源名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限
AIS 偵錯工具 ais-debugger RoleBinding anthos-identity-service 命名空間中的 AIS 資源 (configmap、deployment、stateful set、pod、pod 記錄、持續性磁碟區聲明 (PVC)、事件、密鑰、可輪替密鑰和輪替要求)：建立、讀取、更新、修補及刪除 不適用
APPLSTOR 偵錯工具 applstor-debugger-cp ClusterRoleBinding asmconfigs：所有作業
命名空間和密鑰：取得及列出		 不適用
ASM 偵錯工具 asm-admin-debugger ClusterRoleBinding Istio 服務網格資源 (ManagedServiceMesh、IstioOperator、IstioAuthorizationResource、閘道、虛擬服務、目的地規則、Envoy 篩選器、對等互連驗證、授權政策和遙測)、部署、DaemonSet、有狀態集、副本集、Pod、Pod 記錄、Pod 埠轉送、ConfigMap、Secret、服務、端點和服務帳戶：建立、取得、列出、監控、更新、修補及刪除 不適用
ASM 使用者偵錯工具 asm-user-debugger OrganizationRoleBinding 不適用 Pod、服務、Pod 連接埠轉送、Istio 安全性、網路和遙測資源，以及 IstioAuthorizationResource 資源：所有作業
節點和 IstioOperator 資源：取得及列出
Cert Manager 偵錯工具 platauth-cert-manager-debugger ClusterRoleBinding 憑證、憑證要求、簽發者、叢集簽發者、自動化憑證管理環境 (ACME) 驗證和訂單：建立、取得、列出、監看、更新、修補及刪除 不適用
Cert Manager 使用者叢集偵錯工具 platauth-cert-manager-user-debugger OrganizationRoleBinding 不適用 憑證、憑證要求、簽發者、叢集簽發者、驗證和訂單：建立、取得、列出、監控、更新、修補及刪除
憑證輪換偵錯工具 platauth-credential-rotation-debugger ClusterRoleBinding 密鑰輪換要求 (RotationRequest)、可輪換的密鑰 (RotatableSecret) 和密鑰：建立、取得、列出、監控、更新、修補及刪除 不適用
偵錯 AuditLoggingTarget 的 istio 資源 auditloggingtarget-istio-monitor RoleBinding Istio 資源 (VirtualService、Gateway)、服務、密鑰和憑證：取得及列出 不適用
DNS 偵錯工具 dns-debugger-cp ClusterRoleBinding
  • Configmap 和 Secret：建立、讀取及刪除
  • DNS 註冊：建立及讀取
  • 服務：讀取及更新
  • 部署作業和部署作業記錄：讀取、修補及更新
  • Pod：建立及讀取
  • Pod 記錄：讀取
 不適用
DNS 金鑰偵錯工具 dns-key-debugger RoleBinding dns-system 命名空間中的網域名稱系統安全性擴充功能 (DNSSEC) 簽署金鑰密碼和 configmap：建立、取得、列出、監看、更新、修補及刪除 不適用
EZ Debugger ez-debugger ClusterRoleBinding 軟體即服務 (SaaS) 執行階段資源 (SaasInstance、ModuleInstance 和 LocalRollout) 和維護政策資源 (MaintenancePolicy 和 MaintenancePolicyBinding)：建立、取得、列出、監看、更新、修補及刪除 不適用
FILE 偵錯工具 file-debugger-cp ClusterRoleBinding InventoryMachine、命名空間和密鑰：取得及列出 不適用
Grafana 管理員 grafana-debugger RoleBinding 應用程式、部署作業、有狀態集和 Pod：讀取、更新、刪除及修補 應用程式、部署作業、有狀態集和 Pod：讀取、更新、刪除及修補
Grafana 管理員 grafana-debugger-cp ClusterRoleBinding 應用程式、部署作業、有狀態集和 Pod：讀取、更新、刪除及修補 應用程式、部署作業、有狀態集和 Pod：讀取、更新、刪除及修補
Harbor 執行個體偵錯工具 harbor-instance-debugger ClusterRoleBinding
  • Harbor 執行個體、Harbor 執行個體備份、備份方案、備份存放區和還原 (資料庫和登錄)：建立、取得、列出、監看、更新、修補及刪除
  • 影子專案：建立、取得、列出、觀看、更新及刪除
  • 部署作業、部署作業記錄、監控目標、指標 Proxy Sidecar 和 CRD：取得、列出、監看、更新及修補
  • 憑證、叢集簽發者、簽發者和 Istio 授權政策：取得、列出、監看、更新及刪除
  • Pod 和 Pod 執行檔：建立、取得、列出及監看
  • 稽核記錄目標、記錄目標、buckets、PostgreSQL 資料庫叢集、專案網路政策和 Pod 記錄：取得、列出及監控
 不適用
IAM 偵錯工具 iam-debugger ClusterRoleBinding IAM CR、身分識別提供者、角色繫結、叢集角色繫結和 Webhook 設定：建立、取得、列出、監看、更新、修補及刪除 不適用
IAM 偵錯工具 iam-debugger RoleBinding iam-system 命名空間中的 IAM Deployment、Pod、Pod 記錄、ConfigMap 和密鑰：建立、取得、列出、監控、更新、修補及刪除 不適用
KUB IPAM 偵錯工具 kub-ipam-debugger ClusterRoleBinding IP 位址管理 (IPAM) CR (CIDRClaim、AddressPoolClaim 和 Subnet)：讀取和寫入 不適用
記錄 obs-system 機構組織管理員偵錯工具 log-debugger RoleBinding
  • obs-system 命名空間中的 Pod、Pod 執行、Pod 埠轉送和 Istio 遙測：建立、取得、列出、監看、更新、修補及刪除
  • Deployment、Deployment 規模、有狀態集、水平 Pod 自動配置器、持續性磁碟區和 PVC：取得、列出、監看、更新、修補及刪除
  • Daemon 集合、記錄收集器和監控目標：取得、列出、監看及修補
  • 祕密：取得、列出及刪除
  • 稽核記錄目標、記錄管道、憑證、configmap、Pod 記錄、常駐程式集記錄、部署記錄、有狀態集記錄、事件、節點、服務、Envoy 篩選器和虛擬服務：取得、列出及監看
 不適用
Observability 管理員 observability-admin-debugger RoleBinding
  • obs-system namespace：讀取
  • Anthos 稽核記錄轉送器和 Anthos 記錄轉送器： 更新、修補及刪除
  • obs-system namespace：讀取
  • audit-logs-loki、loki、cortex、anthos-audit-logs-forwarder、anthos-log-forwarder：更新、修補及刪除
Observability 管理員 observability-admin-debugger-root RoleBinding
  • obs-system namespace：讀取
  • Anthos 稽核記錄轉送器和 Anthos 記錄轉送器： 更新、修補及刪除
  • obs-system namespace：讀取
  • audit-logs-loki、loki、cortex、anthos-audit-logs-forwarder、anthos-log-forwarder：更新、修補及刪除
可觀測性偵錯工具 observability-debugger OrganizationRoleBinding
  • 部署作業、有狀態集、精靈集、密鑰、設定對應：讀取、建立、刪除、修補及更新
  • 憑證：讀取
 不適用
OCLCM Debugger oclcm-debugger ClusterRoleBinding oclcm-debugger：
  • 元件：建立及讀取
  • 元件推出和子元件：讀取、修補及更新
  • 子元件覆寫：建立、讀取、更新及修補
 oclcm-debugger-root：
  • 元件：建立及讀取
  • 元件推出和子元件：讀取、修補及更新
  • 子元件覆寫：建立、讀取、更新及修補
PNET Debugger pnet-debugger ClusterRoleBinding 不適用
  • PNET 部署作業和部署作業記錄：讀取、修補及更新
  • Pod、Pod 記錄檔、子網路聲明和交換器：讀取
PNET Debugger pnet-debugger RoleBinding 不適用
  • PNET 部署作業和部署作業記錄：讀取、修補及更新
  • Pod、Pod 記錄、子網路聲明和交換器：讀取
PNET Secret Debugger pnet-secret-debugger RoleBinding 不適用 PNET 密鑰：取得、列出、監看、建立、更新、修補、刪除
PSPF 偵錯工具 pspf-debugger RoleBinding 不適用
  • PSPF 部署作業：取得、列出、監看、建立、更新、修補、刪除
  • PSPF 部署記錄、Pod、Pod 記錄：取得、列出、監看
SSH 基礎架構偵錯工具 platauth-ssh-infra-debugger RoleBinding 不適用 安全殼層 (SSH) 密鑰：取得、列出、監看、修補、更新、建立、刪除
系統 Artifact Registry Debugger sar-debugger ClusterRoleBinding 不適用
  • Harbor 叢集、密鑰、發布政策、手動發布和 ConfigMap：建立、讀取、更新、修補及刪除
  • PVC、Pod 和 Harbor 機器人帳戶：建立、讀取及刪除
  • 發布中繼資料、機構、資料庫叢集、Harbor 專案、憑證、伺服器和叢集：讀取
  • 資料庫和 CRD：讀取和刪除
  • 部署作業：讀取、更新、修補及刪除
  • 永久磁碟區：讀取、更新及修補
系統 Artifact Registry harbor-system 密鑰偵錯工具 sar-harbor-system-secret-debugger RoleBinding harbor-system 密鑰：建立、取得、列出、監控、更新、修補及刪除 不適用
系統叢集 Vertex AI Debugger system-cluster-vai-debugger ClusterRoleBinding Vertex AI 系統叢集資源 (應用程式設定、基本服務、叢集設定、緊急設定、端點、實驗設定、主機維護、微服務、套件和資源集區) 和密鑰：建立、取得、列出、監看、更新、修補及刪除 不適用
UNET Debugger unet-debugger-infra ClusterRoleBinding UNET 資源 (BGP 路徑、對等互連、工作階段、閘道和負載平衡器、雙向轉送偵測 (BFD) 設定檔、IP 位址集區、第 2 層 (L2) 廣告、Cilium 網路政策、端點、身分和節點、叢集 CIDR 設定、叢集 DNS、輸出 NAT 政策、扁平 IP 模式、多叢集連線設定、網路閘道群組和節點、網路介面、網路記錄、網路和 VPN 通道)、configmap、精靈集、部署、服務、端點和端點切片：建立、取得、列出、監看、更新、修補及刪除 不適用
升級偵錯工具 upgrade-debugger ClusterRoleBinding 不適用
  • 升級資源 (節點升級、發布中繼資料、元件發布中繼資料、預檢、維護期間、ConfigMap 和密鑰)：建立、讀取、更新、刪除及修補
  • Harbor 專案：Harbor-admin
使用者叢集除錯工具 user-cluster-debugger OrganizationRoleBinding 不適用
  • 使用者叢集、裸機叢集、外掛程式設定、清查機器、機器、節點集區、節點集區聲明、節點、Pod、Pod 執行、Pod 記錄、工作、ConfigMap 和密鑰：建立、取得、列出、監看、更新、修補及刪除
  • 位址集區聲明、CIDR 聲明、子網路聲明、機構和伺服器：建立、取得、列出、監看、更新及修補
  • Daemon sets、Deployments 和副本集：取得、列出、監控及修補
  • 升級預檢：取得、列出、監控及刪除
  • 子網路、圖形處理器 (GPU) 分配、Harbor 叢集、硬體安全性模組 (HSM) 叢集和 VM：取得、列出及監控
使用者叢集 DNS 偵錯工具 user-cluster-dns-debugger OrganizationRoleBinding 不適用
  • Deployment、Deployment 記錄檔、Pod、Pod 記錄檔：讀取
  • Pod：建立
使用者叢集 UNET 偵錯工具 user-cluster-unet-debugger OrganizationRoleBinding 不適用
  • Configmap：取得、更新及讀取
  • 部署作業、部署作業記錄、DaemonSet 和 DaemonSet 記錄：取得、讀取、修補及更新
  • Pod 和 Pod 記錄：取得、讀取、建立及刪除
  • 服務、cilium 和網路政策：取得、讀取、建立、更新及刪除
  • 流量記錄和流量記錄狀態：取得、讀取、建立、修補、更新及刪除
Vertex AI Debugger vai-debugger ClusterRoleBinding Vertex AI 套件、專案、部署作業、UI 資源和外掛程式集：建立、取得、列出、監控、更新、修補及刪除
祕密：取得、列出及刪除		 不適用
適用於機構基礎架構叢集的 VPN 偵錯工具 vpn-debugger-infra ClusterRoleBinding 網路閘道節點和群組、BGP 路由、對等互連和工作階段、VPN 通道和流量轉向：取得、列出及監控 不適用
網站 TLS 憑證偵錯工具 platauth-web-tls-cert-debugger RoleBinding 不適用 Secret 和公用金鑰基礎架構 (PKI) 憑證：取得、列出、監看、更新、修補、建立、刪除

PA Persona、預先定義的身分與存取權角色

PA persona
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
機構 IAM 管理員 organization-iam-admin 是 組織 ClusterRole
AI 平台管理員 ai-platform-admin 否 組織 Role
Bucket 管理員 bucket-admin 否 組織 ClusterRole
Bucket 物件管理員 bucket-object-admin 否 組織 ClusterRole
Bucket 物件檢視者 bucket-object-viewer 否 組織 ClusterRole
ConfigMap 編輯者 observabilitypipeline-configmap-editor 否 組織 Role
自訂角色組織管理員 custom-role-org-admin 否 組織 ClusterRole
資訊主頁 PA 建立者 dashboard-pa-creator 否 組織 ClusterRole
資訊主頁 PA 編輯者 dashboard-pa-editor 否 組織 ClusterRole
資訊主頁 PA 檢視者 dashboard-pa-viewer 否 組織 ClusterRole
Flow Log 管理員 flowlog-admin 否 組織 ClusterRole
流量記錄檢視器 flowlog-viewer 否 組織 ClusterRole
GDCHRestrictByAttributes 政策管理員 gdchrestrictbyattributes-policy-admin 否 組織 ClusterRole
GDCHRestrictedService 政策管理員 gdchrestrictedservice-policy-admin 否 組織 ClusterRole
識別資訊提供者聯盟管理員 idp-federation-admin 否 組織 Role
Infra PKI 管理員 infra-pki-admin 否 組織 Role
Interconnect 管理員 interconnect-admin-mp 否 組織 ClusterRole
LoggingRule PA Creator loggingrule-pa-creator 否 組織 ClusterRole
LoggingRule PA Editor loggingrule-pa-editor 否 組織 ClusterRole
LoggingRule PA 檢視者 loggingrule-pa-viewer 否 組織 ClusterRole
LoggingTarget PA Creator loggingtarget-pa-creator 否 組織 ClusterRole
LoggingTarget PA 編輯者 loggingtarget-pa-editor 否 組織 ClusterRole
LoggingTarget PA 檢視者 loggingtarget-pa-viewer 否 組織 ClusterRole
MonitoringRule PA 建立者 monitoringrule-pa-creator 否 組織 ClusterRole
MonitoringRule PA 編輯者 monitoringrule-pa-editor 否 組織 ClusterRole
MonitoringRule PA 檢視者 monitoringrule-pa-viewer 否 組織 ClusterRole
MonitoringTarget PA Creator monitoringtarget-pa-creator 否 組織 ClusterRole
MonitoringTarget PA 編輯者 monitoringtarget-pa-editor 否 組織 ClusterRole
MonitoringTarget PA 檢視者 monitoringtarget-pa-viewer 否 組織 ClusterRole
MP OCLCM Debugger mp-oclcm-debugger 否 組織 ClusterRole
MP OCLCM 檢視者 mp-oclcm-viewer 否 組織 ClusterRole
ObservabilityPipeline PA 建立者 observabilitypipeline-pa-creator 否 組織 ClusterRole
ObservabilityPipeline PA 編輯者 observabilitypipeline-pa-editor 否 組織 ClusterRole
ObservabilityPipeline PA 檢視者 observabilitypipeline-pa-viewer 否 組織 ClusterRole
機構網路政策管理員 org-network-policy-admin 否 組織 Role
機構工作階段管理員 org-session-admin 否 組織 Role
組織 Grafana 檢視者 organization-grafana-viewer 否 組織 Role
組織 IAM 檢視者 organization-iam-viewer 否 組織 ClusterRole
機構升級管理員 organization-upgrade-admin 否 組織 ClusterRole
組織升級檢視者 organization-upgrade-viewer 否 組織 ClusterRole
專案建立者 project-creator 否 組織 ClusterRole
專案編輯者 project-editor 否 組織 ClusterRole
子網路機構管理員 subnet-org-admin 否 組織 ClusterRole
Transfer Appliance 申請建立者 transfer-appliance-request-creator 否 組織 ClusterRole
信任儲存庫檢視者 trust-store-viewer 否 組織 Role
使用者叢集管理員 user-cluster-admin 否 組織 ClusterRole
使用者叢集開發人員 user-cluster-developer 否 組織 OrganizationRole
使用者叢集節點檢視者 user-cluster-node-viewer 否 組織 OrganizationRole
磁碟區複製管理員 volume-replication-admin 否 組織 ClusterRole
VPN 管理員 vpn-admin 否 組織 Role
VPN 檢視器 vpn-viewer 否 組織 Role
網站傳輸層安全標準 (TLS) 憑證管理員 web-tls-cert-admin 否 組織 Role

PA 角色、預先定義的身分和存取權角色

PA persona
名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限 升級至
機構 IAM 管理員 ClusterRoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、 ProjectRole、OrganizationClusterRole、ProjectRoleBinding 和 OrganizationClusterRoleBinding： 建立、讀取、更新及刪除
  • 列出專案命名空間
 不適用 專案 IAM 管理員和所有其他 PA 角色
AI 平台管理員 RoleBinding
  • 預先訓練的服務：建立、讀取、更新及刪除
 不適用 不適用
Bucket 管理員 ClusterRoleBinding Bucket 和物件：讀取和寫入 不適用 不適用
Bucket 物件管理員 ClusterRoleBinding
  • 值區：讀取
  • 物件：讀取及寫入
 不適用 不適用
Bucket 物件檢視者 ClusterRoleBinding 值區和物件：讀取 不適用 不適用
ConfigMap 編輯者 RoleBinding ConfigMap 資源：建立、取得、列出、監看、更新及修補 不適用 不適用
自訂角色組織管理員 ClusterRoleBinding 自訂角色機構資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
資訊主頁 PA 建立者 ClusterRoleBinding Dashboard 自訂資源：讀取及寫入 不適用 不適用
資訊主頁 PA 編輯者 ClusterRoleBinding Dashboard 自訂資源：讀取及寫入 不適用 不適用
資訊主頁 PA 檢視者 ClusterRoleBinding Dashboard 自訂資源：讀取 不適用 不適用
Flow Log 管理員 ClusterRoleBinding 流量記錄資源：建立、取得、讀取、修補、更新及刪除 流量記錄資源：建立、取得、讀取、修補、更新及刪除 不適用
流量記錄檢視器 ClusterRoleBinding 流量記錄資源：取得及讀取 流量記錄資源：取得及讀取 不適用
GDCHRestrictByAttributes 政策管理員 ClusterRoleBinding GDCH 受限屬性政策：建立、編輯及刪除 不適用 不適用
GDCHRestrictedService 政策管理員 ClusterRoleBinding GDCHRestrictedService Policy 資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
識別資訊提供者聯盟管理員 RoleBinding 身分提供者設定和密鑰：建立、讀取、更新、修補及刪除 不適用 不適用
Infra PKI 管理員 RoleBinding 不適用
  • PKI 憑證簽發者和憑證授權單位：取得、列出、監控、建立、更新、刪除、修補
  • PKI 密鑰：取得、列出
 不適用
Interconnect 管理員 ClusterRoleBinding 不適用 互連網路連結和連結群組：取得、列出、監控、建立、更新、刪除、修補 不適用
LoggingRule PA Creator ClusterRoleBinding LoggingRule 自訂資源：讀取及寫入 不適用 不適用
LoggingRule PA Editor ClusterRoleBinding LoggingRule 自訂資源：讀取及寫入 不適用 不適用
LoggingRule PA 檢視者 ClusterRoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget PA Creator ClusterRoleBinding LoggingTarget 自訂資源：讀取及寫入 不適用 不適用
LoggingTarget PA 編輯者 ClusterRoleBinding LoggingTarget 自訂資源：讀取及寫入 不適用 不適用
LoggingTarget PA 檢視者 ClusterRoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
MonitoringRule PA 建立者 ClusterRoleBinding MonitoringRule 自訂資源：讀取及寫入 不適用 不適用
MonitoringRule PA 編輯者 ClusterRoleBinding MonitoringRule 自訂資源：讀取及寫入 不適用 不適用
MonitoringRule PA 檢視者 ClusterRoleBinding MonitoringRule 自訂資源：讀取 不適用 不適用
MonitoringTarget PA Creator ClusterRoleBinding MonitoringTarget 自訂資源：讀取及寫入 不適用 不適用
MonitoringTarget PA 編輯者 ClusterRoleBinding MonitoringTarget 自訂資源：讀取及寫入 不適用 不適用
MonitoringTarget PA 檢視者 ClusterRoleBinding MonitoringTarget 自訂資源：讀取 不適用 不適用
MP OCLCM Debugger ClusterRoleBinding
  • 元件：取得、列出、建立
  • ComponentOverrides、SubcomponentOverrides：取得、列出、建立、更新、修補
  • ComponentRollouts、Subcomponents：取得、列出、更新、修補
 不適用 不適用
MP OCLCM 檢視者 ClusterRoleBinding 元件、ComponentOverrides、SubcomponentOverrides、ComponentRollouts、Subcomponents：取得、列出 不適用 不適用
ObservabilityPipeline PA 建立者 ClusterRoleBinding ObservabilityPipeline 自訂資源：讀取及寫入 不適用 不適用
ObservabilityPipeline PA 編輯者 ClusterRoleBinding ObservabilityPipeline 自訂資源：讀取及寫入 不適用 不適用
ObservabilityPipeline PA 檢視者 ClusterRoleBinding ObservabilityPipeline 自訂資源：讀取 不適用 不適用
機構網路政策管理員 RoleBinding OrganizationNetworkPolicy 命名空間：建立、讀取、更新及刪除platform 不適用 不適用
機構工作階段管理員 RoleBinding Istio 授權資源：建立、讀取、更新及刪除 不適用 不適用
組織 Grafana 檢視者 RoleBinding GrafanaSystem 和 Grafana：讀取及寫入 不適用 不適用
組織 IAM 檢視者 ClusterRoleBinding
  • 角色式存取控管 (RBAC) 物件：讀取
  • OrganizationClusterRole 和 OrganizationClusterRoleBinding：讀取
 不適用 不適用
機構升級管理員 ClusterRoleBinding 維護期間：取得、列出、監看、更新及修補 不適用 不適用
組織升級檢視者 ClusterRoleBinding 維護期間：取得、列出及監看 不適用 不適用
專案建立者 ClusterRoleBinding
  • 專案自訂資源 (CR)：讀取及建立
  • 機群 CR：讀取及建立
  • 叢集：讀取
 不適用 不適用
專案編輯者 ClusterRoleBinding
  • 專案自訂資源 (CR)：讀取、刪除、修補、更新及查看
  • 機群 CR：讀取並刪除
  • 叢集 CR：讀取
 不適用 不適用
子網路機構管理員 ClusterRoleBinding 子網路機構資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
Transfer Appliance 申請建立者 ClusterRoleBinding Transfer Appliance 申請資源：建立、取得、列出及監控 不適用 不適用
信任儲存庫檢視者 RoleBinding 信任存放區密鑰：取得 不適用 不適用
使用者叢集管理員 ClusterRoleBinding
  • AddressPoolClaims：建立、讀取、更新及刪除
  • UserClusterUpgrade：讀取及寫入
  • UserClusterMetadata、ClusterBgpRouters、InventoryMachines 和專案自訂資源 (CR)：讀取
  • CidrClaims：建立、讀取、更新及刪除
  • Namespace：建立及刪除
  • ClusterCidrConfigs 和叢集：建立、讀取、更新、修補及刪除
  • NodeUpgrades：讀取、建立、修補及更新
  • HarborClusters、Projects、UserClusterUpgradeRequests：讀取
  • Clusters 和 NodePoolClaims：讀取及寫入
  • NodePools、MachineClasses、VirtualMachineTypes 和 ClusterInfos：讀取
 不適用
使用者叢集開發人員 OrganizationRoleBinding 不適用 叢集：讀取及寫入 不適用
使用者叢集節點檢視者 OrganizationRoleBinding 不適用 叢集：讀取 不適用
磁碟區複製管理員 ClusterRoleBinding Volume failovers, volume relationship replicas： 建立、取得、列出、觀看、刪除 不適用 不適用
VPN 管理員 RoleBinding 不適用
  • VPNGateway：建立、讀取、寫入
  • PeerGateway：建立、讀取、寫入
  • VPNBGPPeer：建立、讀取、寫入
  • VPNTunnel：建立、讀取、寫入
 不適用
VPN 檢視器 RoleBinding 不適用
  • VPNGateway：讀取
  • PeerGateway：讀取
  • VPNBGPPeer：讀取
  • VPNTunnel：讀取
 不適用
網站傳輸層安全標準 (TLS) 憑證管理員 RoleBinding 網頁 TLS 憑證資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用

AO Persona、預先定義的身分與存取權角色

AO 角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
專案 IAM 管理員 project-iam-admin 是 專案 Role
AI Ocr Developer ai-ocr-developer 否 專案 Role
AI 語音開發人員 ai-speech-developer 否 專案 Role
AI 翻譯開發人員 ai-translation-developer 否 專案 Role
憑證授權單位服務管理員 certificate-authority-service-admin 否 專案 Role
憑證服務管理員 certificate-service-admin 否 專案 Role
自訂角色專案管理員 custom-role-project-admin 否 專案 Role
資訊主頁編輯器 dashboard-editor 否 專案 Role
資訊主頁檢視者 dashboard-viewer 否 專案 Role
偵錯 AuditLoggingTarget 自訂資源 auditloggingtarget-monitor 否 專案 Role
Harbor 執行個體檢視者 harbor-instance-viewer 否 專案 Role
Harbor 專案建立者 harbor-project-creator 否 專案 Role
K8S NetworkPolicy 管理員 k8s-networkpolicy-admin 否 專案 ProjectRole
負載平衡器管理員 load-balancer-admin 否 專案 Role
LoggingRule Creator loggingrule-creator 否 專案 Role
LoggingRule Editor loggingrule-editor 否 專案 Role
LoggingRule 檢視者 loggingrule-viewer 否 專案 Role
LoggingTarget Creator loggingtarget-creator 否 專案 Role
LoggingTarget 編輯器 loggingtarget-editor 否 專案 Role
LoggingTarget 檢視者 loggingtarget-viewer 否 專案 Role
代管 DNS 專案管理員 managed-dns-project-admin 否 專案 Role
代管 DNS 專案檢視者 managed-dns-project-viewer 否 專案 Role
MonitoringRule 編輯者 monitoringrule-editor 否 專案 Role
MonitoringRule 檢視者 monitoringrule-viewer 否 專案 Role
MonitoringTarget 編輯者 monitoringtarget-editor 否 專案 Role
MonitoringTarget 檢視者 monitoringtarget-viewer 否 專案 Role
命名空間管理員 namespace-admin 否 專案 ProjectRole
NAT 檢視者 nat-viewer 否 專案 ProjectRole
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 專案 Role
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 專案 Role
專案 Bucket 管理員 project-bucket-admin 否 專案 Role
專案 Bucket 物件管理員 project-bucket-object-admin 否 專案 Role
專案 Bucket 物件檢視者 project-bucket-object-viewer 否 專案 Role
Project Cortex Alertmanager 編輯者 project-cortex-alertmanager-editor 否 專案 Role
Project Cortex Alertmanager 檢視者 project-cortex-alertmanager-viewer 否 專案 Role
Project Cortex Prometheus 檢視者 project-cortex-prometheus-viewer 否 專案 Role
專案 FileShare 管理員 project-fileshare-admin 否 專案 Role
專案 Grafana 檢視者 project-grafana-viewer 否 專案 Role
專案維護政策管理員 project-mp-admin 否 專案 Role
專案維護政策繫結編輯者 project-mpb-editor 否 專案 Role
專案維護政策繫結檢視者 project-mpb-viewer 否 專案 Role
專案維護政策編輯者 project-mp-editor 否 專案 Role
專案維護政策檢視者 project-mp-viewer 否 專案 Role
專案 NetworkPolicy 管理員 project-networkpolicy-admin 否 專案 Role
專案檢視者 project-viewer 否 專案 Role
專案 VirtualMachine 管理員 project-vm-admin 否 專案 Role
專案 VirtualMachine 映像檔管理員 project-vm-image-admin 否 專案 Role
密鑰管理員 secret-admin 否 專案 Role
密鑰檢視者 secret-viewer 否 專案 Role
Spark 運算子 mkt-spark-operator 否 組織 Role
子網路專案管理員 subnet-project-admin 否 專案 Role
子網路專案運算子 subnet-project-operator 否 專案 Role
磁碟區複製管理員 app-volume-replication-admin 否 組織 ClusterRole
工作負載檢視者 workload-viewer 否 專案 ProjectRole

AO 角色、預先定義的身分和存取權角色

AO 角色
名稱 繫結類型 Management API 伺服器權限 Kubernetes 叢集權限 升級至
專案 IAM 管理員 RoleBinding
  • RoleBinding、ClusterRoleBinding、Role、ClusterRole、ProjectRole、ProjectClusterRole、ProjectRoleBinding 和 ProjectClusterRoleBinding：建立、讀取、更新、刪除及繫結
  • ProjectServiceAccount：建立、讀取、更新及刪除
  • 列出專案命名空間
 不適用 所有其他 AO 角色
AI Ocr Developer RoleBinding 光學字元辨識資源：讀取及寫入 不適用 不適用
AI 語音開發人員 RoleBinding 語音資源：讀取及寫入 不適用 不適用
AI 翻譯開發人員 RoleBinding 翻譯資源：讀取及寫入 不適用 不適用
憑證授權單位服務管理員 RoleBinding 憑證授權單位和憑證要求：取得、列出、監看、更新、建立、刪除及修補 不適用 不適用
憑證服務管理員 RoleBinding 憑證和憑證核發機構：取得、列出、監控、更新、建立、刪除及修補 不適用 不適用
自訂角色專案管理員 RoleBinding 自訂角色專案資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
資訊主頁編輯器 RoleBinding Dashboard 自訂資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 RoleBinding Dashboard：取得及讀取 不適用 不適用
偵錯 AuditLoggingTarget 自訂資源 RoleBinding
  • DNS 註冊：取得、列出
  • Audit logging targets：取得、列出、更新、刪除、修補
 不適用 不適用
Harbor 執行個體檢視者 RoleBinding Harbor 執行個體：讀取 不適用 不適用
Harbor 專案建立者 RoleBinding Harbor 執行個體專案：建立、取得及監看 不適用 不適用
K8S NetworkPolicy 管理員 ProjectRoleBinding 不適用 NetworkPolicy 資源：建立、讀取、取得、更新、刪除及修補 不適用
負載平衡器管理員 RoleBinding 不適用
  • Backend：取得、觀看、列出、建立、修補、更新及刪除
  • HealthCheck：取得、觀看、列出、建立、修補、更新及刪除
  • BackendService：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleExternal：取得、觀看、列出、建立、修補、更新及刪除
  • ForwardingRuleInternal：取得、觀看、列出、建立、修補、更新及刪除
 不適用
LoggingRule Creator RoleBinding LoggingRule 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingRule Editor RoleBinding LoggingRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingRule 檢視者 RoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget Creator RoleBinding LoggingTarget 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingTarget 編輯器 RoleBinding LoggingTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingTarget 檢視者 RoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
代管 DNS 專案管理員 RoleBinding
  • 代管 DNS 區域和資源記錄集 (ManagedDNSZone、ResourceRecordSet)：建立、讀取、更新、修補及刪除
 不適用 不適用
代管 DNS 專案檢視者 RoleBinding 代管 DNS 區域和資源記錄集 (ManagedDNSZone、ResourceRecordSet)：取得、列出及監控 不適用 不適用
MonitoringRule 編輯者 RoleBinding MonitoringRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 RoleBinding MonitoringRule 自訂資源：讀取 不適用 不適用
MonitoringTarget 編輯者 RoleBinding MonitoringTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 RoleBinding MonitoringTarget 自訂資源：讀取 不適用 不適用
命名空間管理員 ProjectRoleBinding 不適用 所有資源：專案命名空間的讀寫權限 不適用
NAT 檢視者 ProjectRoleBinding 不適用 部署項目：取得及閱讀 不適用
ObservabilityPipeline 編輯者 RoleBinding ObservabilityPipeline 資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 RoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
專案 Bucket 管理員 RoleBinding 值區：在專案命名空間中讀取及寫入 不適用 不適用
專案 Bucket 物件管理員 RoleBinding
  • 值區：讀取
  • 物件：讀取及寫入
 不適用 不適用
專案 Bucket 物件檢視者 RoleBinding 值區和物件：讀取 不適用 不適用
Project Cortex Alertmanager 編輯者 RoleBinding Cortex 系統和 Cortex Alertmanager：讀取及寫入 不適用 不適用
Project Cortex Alertmanager 檢視者 RoleBinding Cortex 系統和 Cortex Alertmanager：請參閱 不適用 不適用
Project Cortex Prometheus 檢視者 RoleBinding Cortex 系統和 Cortex Prometheus：請參閱 不適用 不適用
專案 FileShare 管理員 RoleBinding 檔案共用、匯出群組和匯出群組繫結：建立、取得、列出、監看及刪除 不適用 不適用
專案 Grafana 檢視者 RoleBinding Grafana 系統和 Grafana：讀取和寫入 不適用 不適用
專案維護政策管理員 RoleBinding 專案維護政策資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
專案維護政策繫結編輯者 RoleBinding 專案維護政策繫結資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
專案維護政策繫結檢視者 RoleBinding 專案維護政策繫結資源：取得、列出及監看 不適用 不適用
專案維護政策編輯者 RoleBinding 專案維護政策資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
專案維護政策檢視者 RoleBinding 專案維護政策資源：取得、列出及監看 不適用 不適用
專案 NetworkPolicy 管理員 RoleBinding 專案網路政策：在專案命名空間中讀取及寫入 不適用 不適用
專案檢視者 RoleBinding 專案命名空間中的所有資源：讀取 不適用 不適用
專案 VirtualMachine 管理員 RoleBinding
  • 虛擬機器、磁碟、存取要求、外部存取、備份要求、備份、還原要求、刪除備份要求、還原和密碼重設要求：讀取、建立、更新及刪除
  • 重新啟動虛擬機器：放置
  • 虛擬機器映像檔、備份方案和備份方案範本：讀取
 不適用 不適用
專案 VirtualMachine 映像檔管理員 RoleBinding
  • VM 映像檔：請參閱
  • VM 映像檔匯入作業：讀取及寫入
  • Bucket：建立
  • 「vm-images-bucket」Bucket：讀取及寫入
 不適用 不適用
密鑰管理員 RoleBinding Kubernetes Secret：讀取、建立、更新、刪除及修補 不適用 不適用
密鑰檢視者 RoleBinding Kubernetes 密鑰：讀取 不適用 不適用
Spark 運算子 RoleBinding Spark 資源：建立、取得、列出、監看、更新、修補及刪除 不適用 不適用
子網路專案管理員 RoleBinding 子網路專案資源：建立、取得、列出、監控、更新、修補及刪除 不適用 不適用
子網路專案運算子 RoleBinding Subnet 資源：建立、取得、列出及刪除 不適用 不適用
磁碟區複製管理員 ClusterRoleBinding Volume failovers, volume relationship replicas： 建立、取得、列出、觀看、刪除 不適用 不適用
工作負載檢視者 ProjectRoleBinding 不適用
  • 專案命名空間中的 Pod 自訂資源：讀取
  • 專案命名空間中的部署作業自訂資源：讀取
 不適用

常見的預先定義身分與存取權角色

常見角色
名稱 Kubernetes 資源名稱 初始管理員 等級 類型
資訊主頁編輯器 dashboard-editor 否 機構 / 專案 ClusterRole/Role
資訊主頁檢視者 dashboard-viewer 否 機構 / 專案 ClusterRole/Role
Flow Log 管理員 flowlog-admin 否 組織 ClusterRole
流量記錄檢視器 flowlog-viewer 否 組織 ClusterRole
LoggingRule Creator loggingrule-creator 否 機構 / 專案 ClusterRole/Role
LoggingRule Editor loggingrule-editor 否 機構 / 專案 ClusterRole/Role
LoggingRule 檢視者 loggingrule-viewer 否 機構 / 專案 ClusterRole/Role
LoggingTarget Creator loggingtarget-creator 否 機構 / 專案 ClusterRole/Role
LoggingTarget 編輯器 loggingtarget-editor 否 機構 / 專案 ClusterRole/Role
LoggingTarget 檢視者 loggingtarget-viewer 否 機構 / 專案 ClusterRole/Role
MonitoringRule 編輯者 monitoringrule-editor 否 機構 / 專案 ClusterRole/Role
MonitoringRule 檢視者 monitoringrule-viewer 否 機構 / 專案 ClusterRole/Role
MonitoringTarget 編輯者 monitoringtarget-editor 否 機構 / 專案 ClusterRole/Role
MonitoringTarget 檢視者 monitoringtarget-viewer 否 機構 / 專案 ClusterRole/Role
ObservabilityPipeline 編輯者 observabilitypipeline-editor 否 機構 / 專案 ClusterRole/Role
ObservabilityPipeline 檢視者 observabilitypipeline-viewer 否 機構 / 專案 ClusterRole/Role
系統 Artifact Registry anthos-creds 密鑰監控 sar-anthos-creds-secret-monitor 否 組織 Role

常見的預先定義身分與存取權角色

常見角色
名稱 繫結類型 管理員叢集權限 Kubernetes 叢集權限 升級至
資訊主頁編輯器 ClusterRoleBinding/RoleBinding Dashboard 自訂資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
資訊主頁檢視者 ClusterRoleBinding/RoleBinding Dashboard：取得及讀取 不適用 不適用
Flow Log 管理員 ClusterRoleBinding 流量記錄資源：建立、取得、讀取、修補、更新及刪除 流量記錄資源：建立、取得、讀取、修補、更新及刪除 不適用
流量記錄檢視器 ClusterRoleBinding 流量記錄資源：取得及讀取 流量記錄資源：取得及讀取 不適用
LoggingRule Creator ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingRule Editor ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingRule 檢視者 ClusterRoleBinding/RoleBinding LoggingRule 自訂資源：讀取 不適用 不適用
LoggingTarget Creator ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：建立、取得、列出及觀看 不適用 不適用
LoggingTarget 編輯器 ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：取得、列出、監看、更新、刪除及修補 不適用 不適用
LoggingTarget 檢視者 ClusterRoleBinding/RoleBinding LoggingTarget 自訂資源：讀取 不適用 不適用
MonitoringRule 編輯者 ClusterRoleBinding/RoleBinding MonitoringRule 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringRule 檢視者 ClusterRoleBinding/RoleBinding MonitoringRule 自訂資源：讀取 不適用 不適用
MonitoringTarget 編輯者 ClusterRoleBinding/RoleBinding MonitoringTarget 自訂資源：建立、讀取、更新、刪除及修補 不適用 不適用
MonitoringTarget 檢視者 ClusterRoleBinding/RoleBinding MonitoringTarget 自訂資源：讀取 不適用 不適用
ObservabilityPipeline 編輯者 ClusterRoleBinding/RoleBinding ObservabilityPipeline 資源：取得、讀取、建立、更新、刪除及修補 不適用 不適用
ObservabilityPipeline 檢視者 ClusterRoleBinding/RoleBinding ObservabilityPipeline 資源：取得及閱讀 不適用 不適用
系統 Artifact Registry anthos-creds 密鑰監控 RoleBinding anthos-creds 密鑰：取得及讀取 anthos-creds 密鑰：取得及讀取 不適用